Lỗ hổng bảo mật đường sắt liên quan đến vụ trộm tiền điện tử 371.000 USD trên 19 chuỗi

Đường sắt đã công bố một lỗ hổng bảo mật mà nhà điều tra blockchain Taylor Monahan liên kết với khoảng 371.000 USD trong các vụ rút tiền điện tử trên 19 mạng tương thích EVM.

Tóm tắt

• Đường sắt đã công bố một lỗ hổng bảo mật có thể đã làm lộ các biến môi trường của khách hàng chứa thông tin nhạy cảm và khóa riêng tư.
• Nhà điều tra blockchain Taylor Monahan đã liên kết sự cố này với khoảng 371.000 USD trong vụ trộm tiền điện tử liên quan đến hơn 500 giao dịch trên ít nhất 19 mạng EVM.
• Monahan đã xác định giao dịch trộm cắp đầu tiên được biết đến vào lúc 19:36 UTC ngày 21 tháng 10, hơn hai giờ trước khi Đường sắt công khai thông báo sự cố bảo mật.
• Đường sắt đã tạm thời ngừng triển khai và khuyến cáo tất cả khách hàng thay đổi thông tin xác thực đã lưu trong khi điều tra mức độ của lỗ hổng.

Theo thông báo bảo mật của Đường sắt vào ngày 21 tháng 10, nền tảng triển khai đám mây đã phát hiện hoạt động bất thường liên quan đến các hệ thống được sử dụng để lưu trữ các biến môi trường của khách hàng, có thể chứa thông tin nhạy cảm như khóa API, mật khẩu cơ sở dữ liệu và thông tin xác thực đăng ký riêng tư.

Một bên thứ ba không được ủy quyền có thể đã truy cập vào các biến được mã hóa và thu được nội dung đã giải mã của một số biến, mặc dù công ty cho biết cuộc điều tra của họ vẫn đang diễn ra và số lượng khách hàng bị ảnh hưởng chưa được xác định.

Lỗ hổng Đường sắt liên quan đến hơn 500 giao dịch tiền điện tử

Nhà nghiên cứu bảo mật blockchain Taylor Monahan đã báo cáo vào ngày 22 tháng 10 rằng những kẻ tấn công đã rút tiền điện tử từ các khóa riêng tư được lưu trữ trong Đường sắt, với vụ trộm nghi ngờ liên quan đến hơn 500 giao dịch trên hơn 200 địa chỉ khác nhau.

Thời gian này là giấc mơ ướt át nhất của những luật sư săn đuổi xe cứu thương 🫠

07:24: Các bản xây dựng của Đường sắt bị tạm dừng

09:28: API + CLI + Bảng điều khiển + các bản xây dựng của Đường sắt bị tạm dừng

(nhiều cập nhật "chúng tôi vẫn đang ngoại tuyến" ở đây)

19:36: Giao dịch trộm cắp tiền điện tử đầu tiên được biết đến

21:11: Postiz giống như... pic.twitter.com/7fajuLKQK2
--- Tay 💖 (@tayvano_) ngày 22 tháng 10 năm 2026

Những phát hiện của cô đã đặt ước tính thiệt hại vào khoảng 371.000 USD, với hoạt động trải dài trên ít nhất 19 blockchain tương thích Ethereum Virtual Machine.

Monahan đã xác định địa chỉ kẻ tấn công nghi ngờ là 0xd9773325282874d18cb83f1fe50f14c39750b2ee và đặt giao dịch trộm cắp tiền điện tử đầu tiên được biết đến vào lúc 19:36 UTC ngày 21 tháng 10.

Theo đánh giá của cô, các giao dịch dường như đã được thực hiện bằng cách sử dụng một kịch bản quét ví tương đối tiêu chuẩn, thay vì phần mềm được phát triển đặc biệt cho sự cố này.

Các kịch bản như vậy được thiết kế để chuyển tiền điện tử có sẵn từ các ví mà khóa riêng của chúng đã bị xâm phạm. Những phát hiện của Monahan cho thấy kẻ tấn công đã có quyền truy cập vào thông tin xác thực có khả năng ủy quyền cho các giao dịch từ các địa chỉ bị ảnh hưởng.

Tuy nhiên, Đường sắt chưa xác nhận độc lập các thiệt hại tiền điện tử được báo cáo hoặc xác định cách kẻ tấn công có được thông tin xác thực ví mà Monahan đã xác định.

Số tiền 371.000 USD được báo cáo vẫn là một ước tính bên ngoài, và các thông báo có sẵn không xác định liệu có ví bổ sung nào bị xâm phạm hay không hoặc liệu các giao dịch đã xác định có tính đến tất cả các thiệt hại liên quan hay không.

Đường sắt đã tạm dừng triển khai trước khi phát hiện vụ trộm tiền điện tử

Trong một bài đăng riêng, Monahan đã đặt câu hỏi về thời điểm công bố công khai của Đường sắt và phác thảo một chuỗi gián đoạn dịch vụ bắt đầu vài giờ trước giao dịch trộm cắp tiền điện tử đầu tiên mà cô đã xác định.

Theo thời gian biểu mà cô đã chia sẻ, Đường sắt đã tạm dừng các bản xây dựng vào lúc 07:24 UTC ngày 21 tháng 10. Đến 09:28 UTC, sự gián đoạn đã ảnh hưởng đến API, giao diện dòng lệnh, bảng điều khiển và dịch vụ triển khai của nó.

Người dùng tiếp tục nhận cập nhật dịch vụ trong suốt cả ngày trong khi công ty làm việc để khôi phục quyền truy cập vào các hệ thống của mình.

Monahan đã đặt giao dịch trộm cắp tiền điện tử đầu tiên được biết đến vào lúc 19:36 UTC, khoảng 12 giờ sau khi tạm dừng bản xây dựng ban đầu.

Vào lúc 21:11 UTC, đồng sáng lập và CEO của Railway, Jake Cooper, người sử dụng tên Postiz trên X, đã được trích dẫn trong dòng thời gian thảo luận về thông báo từ Stripe và Ant liên quan đến thông tin xác thực bị xâm phạm.

Railway đã công bố thông báo bảo mật của mình vào khoảng 21:51 UTC, hơn hai giờ sau giao dịch trộm cắp đầu tiên được xác định bởi Monahan.

Dòng thời gian không xác định khi nào Railway lần đầu tiên nhận thức được vụ trộm tiền điện tử nghi ngờ hoặc liệu các sự cố dịch vụ trước đó có phải do truy cập trái phép gây ra hay không.

Railway khuyến nghị khách hàng thay đổi thông tin xác thực bị lộ

Railway cho biết cuộc điều tra ban đầu của họ cho thấy vụ xâm phạm có thể chỉ ảnh hưởng đến một nhóm khách hàng nhất định, nhưng khuyến nghị rằng mọi người sử dụng nền tảng này ngay lập tức thay đổi các biến môi trường và thông tin xác thực liên quan đã lưu trữ.

Công ty đặc biệt khuyên khách hàng nên quay vòng các khóa API và thông tin xác thực của kho riêng tư trong khi kiểm tra nhật ký dịch vụ để phát hiện hoạt động bất thường.

Railway tin rằng sự cố này có thể liên quan đến một loạt các cuộc tấn công nhằm vào các công ty nền tảng với mục đích xâm phạm các nhà cung cấp suy diễn AI.

Mặc dù công ty không xác định các kẻ tấn công nghi ngờ hoặc các nhà cung cấp liên quan, nhưng họ cho biết đã thông báo cho các dịch vụ upstream để họ có thể thu hồi các khóa có thể đã bị lộ như một biện pháp phòng ngừa.

Các triển khai đã bị tạm ngừng trong quá trình điều tra, ngăn cản khách hàng triển khai các phiên bản ứng dụng mới cho đến khi dịch vụ xây dựng được khôi phục.

Trong một thông báo tiếp theo vào ngày 22 tháng 10, Railway xác nhận rằng họ đã đặt lại thông tin xác thực của bucket lưu trữ và token GitHub được giữ cho các tài khoản và dịch vụ của khách hàng.

Công ty cho biết các thông tin xác thực trước đó sẽ không còn hoạt động, yêu cầu khách hàng bị ảnh hưởng phải triển khai lại dịch vụ bằng thông tin xác thực lưu trữ thay thế và kết nối lại tài khoản GitHub của họ.

Thông tin xác thực bị xâm phạm đã gây ra các tổn thất tiền điện tử trước đó

Việc lộ thông tin xác thực đã chịu trách nhiệm cho một số sự cố bảo mật tiền điện tử trong năm nay, mặc dù các phương pháp được sử dụng để có được quyền truy cập đã khác nhau.

Vào tháng 7, crypto.news đã báo cáo về phần mềm bị xâm phạm được phân phối thông qua một gói phát triển Injective chứa mã độc được thiết kế để thu thập các khóa riêng và cụm từ hạt giống.

Công ty bảo mật Socket phát hiện rằng gói bị ảnh hưởng đã được tải xuống hơn 300 lần, với bản cập nhật độc hại lan truyền qua 17 gói liên quan.

Một sự cố khác liên quan đến thông tin xác thực ký kết oracle của Ostium đã dẫn đến gần 18 triệu USD trong USDC bị rút khỏi kho thanh khoản của nền tảng giao dịch vào tháng 7, theo công ty bảo mật Blockaid.

Vào tháng 4, Syndicate Labs đã tiết lộ rằng một khóa nâng cấp bị rò rỉ đã cho phép một kẻ tấn công xâm phạm cầu nối chuỗi chéo của họ và đánh cắp các token SYND và quỹ của người dùng.

Railway cho biết họ sẽ liên hệ trực tiếp với khách hàng qua email khi các nhà điều tra xác nhận tài khoản nào đã bị ảnh hưởng, với thông tin thêm sẽ được công bố thông qua thông báo bảo mật và trang trạng thái của họ.