- Railway表示，攻擊者利用其建置基礎設施，解密最多1.85%、約10萬個工作區的變數。
- Railway表示，被盜的AI供應商金鑰產生約74萬美元的估計未經授權使用額。
- Railway表示，攻擊者解密的資料包括BYOK代理金鑰及1,852名用戶的GitHub OAuth代幣。
Railway於11月10日發布事件報告，指攻擊者在10月一宗攻擊事件中利用其建置基礎設施，解密部分客戶變數，而被盜AI供應商金鑰的未經授權開支估計約74萬美元。
受影響資料包括353次建置的儲存歷史（包括已封存變數），以及1,852名用戶的BYOK代理金鑰及GitHub OAuth代幣。Railway表示，取證調查未顯示客戶資料庫曾被存取。
Railway是運行客戶應用程式及其建置的雲端平台。公司表示，攻擊者於10月21日已被完全驅逐，而在暫停新建置及部署期間，現有部署仍維持上線。
Railway追查由建置逃逸至變數解密的攻擊
Railway表示，攻擊者於10月20日世界協調時間06:50開始探測其建置基礎設施，並於世界協調時間07:28利用一個此前未知的漏洞，部分逃離檔案系統隔離。
一宗有關異常登錄服務API呼叫的警報於世界協調時間13:58通知當值工程師。攻擊者在世界協調時間13:50至15:30期間讀取353次建置的儲存歷史，包括已封存變數。
10月21日世界協調時間03:26，攻擊者發現錯誤配置的OIDC繫結，取得短期雲端憑證。Railway表示，攻擊者其後於世界協調時間04:07至05:21期間提取加密環境變數。
Railway稱AI金鑰是攻擊者主要目標
Railway表示，資料庫日誌顯示，攻擊者以其提供的正規表示式查詢變數名稱，以優先尋找AI供應商金鑰。攻擊者於10月21日兩段期間解密部分已提取變數，分別為世界協調時間04:42至05:14，以及06:36至07:15。
公司表示，內部取證調查確認AI供應商金鑰是主要目標。Railway估計，被盜金鑰的未經授權開支約為74萬美元。
Railway表示，攻擊者首次以虛假帳戶註冊始於10月18日，但初步探測期間的所有嘗試均不成功。
Railway暫停部署及註冊後恢復建置
Railway表示，於10月22日世界協調時間03:32開始恢復建置，先處理Enterprise工作區。Pro工作區於06:29恢復，Hobby建置於21:08恢復，而Free及Trial建置於22:49恢復。
公司於10月22日世界協調時間19:06暫停新註冊，並於11月2日重新開放。Railway表示，在暫停新建置及部署期間，所有現有用戶部署均維持上線。
Railway表示，於10月21日世界協調時間09:25通知GitHub、GitLab、Anthropic、OpenAI、OpenRouter、SpaceXSI、Google及Stripe有關可能受危害的金鑰。公司至10月22日世界協調時間22:49為所有方案恢復建置，並於11月2日重新開放新註冊。
公司表示，尚未確定原始攻擊者是否營運相關服務，或是否向其他方提供憑證。Railway亦聘請外部取證公司調查惡意行為者。
防守方現在要做甚麼
- 移除資料庫的公開網絡存取權限。
- 輪換任何敏感變數及金鑰。
- 檢查GitHub帳戶稽核日誌，並檢視所有應用程式存取權限。
- 檢查Dockerhub等登錄中心內的稽核日誌。
- 如在10月21日前註冊，輪換儲存於Railway的金鑰。
常見問題
Railway攻擊事件發生甚麼事？
Railway表示，攻擊者利用其建置基礎設施，存取儲存的建置歷史，並解密部分客戶變數。Railway表示，事件導致估計約74萬美元的未經授權AI供應商使用額。
有多少Railway工作區受影響？
Railway表示，最多1.85%、約10萬個工作區的變數被解密。公司亦表示，解密資料包括1,852名用戶的已連結帳戶代幣。
Railway攻擊者存取了哪些資料？
Railway表示，攻擊者讀取353次建置的儲存歷史，包括已封存變數。Railway表示，解密資料包括BYOK代理金鑰及GitHub OAuth代幣，而取證調查未顯示客戶資料庫曾被存取。
Railway客戶應用程式有否下線？
Railway表示，在暫停新建置及部署期間，現有用戶部署仍維持上線及運作。公司至10月22日世界協調時間22:49為所有方案恢復建置。
Railway客戶在事件後應採取甚麼措施？
Railway建議客戶移除資料庫公開存取權限，輪換敏感變數及金鑰，並檢視GitHub及登錄中心稽核日誌。Railway建議在10月21日前註冊的客戶輪換儲存於Railway的金鑰。
來源
- Incident Report: October 21st Security Attack | Railway Blog, Railway原始文件
- Preliminary Report: Oct 21st Security Incident | Railway Blog, Railway原始文件
- Railway breach leads to $740,000 in fraudulent AI charges, BleepingComputer
- Railway Hack Stole AI Keys From Up to 100,000 Workspaces, ShiftDelete
- Railway urges users to revoke API keys after cyberattack exposes customer secrets, MediaNama
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| Railway表示，攻擊者利用其建置基礎設施，解密最多1.85%、約10萬個工作區的變數。 | Railway | 引述 |
| Railway表示，被盜的AI供應商金鑰產生約74萬美元的估計未經授權使用額。 | Railway | 引述 |
| Railway表示，攻擊者於10月20日世界協調時間06:50開始探測其建置基礎設施。 | Railway | 引述 |
| Railway表示，攻擊者於10月20日世界協調時間07:28利用一個此前未知的建置基礎設施漏洞，部分逃離檔案系統隔離。 | Railway | 引述 |
| Railway表示，一宗有關異常登錄服務API呼叫的警報於10月20日世界協調時間13:58通知當值工程師。 | Railway | 引述 |
| Railway表示，攻擊者於10月21日世界協調時間03:26發現錯誤配置的OIDC繫結，並取得短期雲端憑證。 | Railway | 引述 |
| Railway表示，攻擊者於10月21日世界協調時間04:07至05:21期間提取加密環境變數。 | Railway | 引述 |
| Railway表示，攻擊者透過使用其提供的正規表示式查詢變數名稱，優先尋找AI供應商金鑰。 | Railway | 引述 |
| Railway表示，攻擊者於10月21日世界協調時間04:42至05:14，以及06:36至07:15期間解密部分已提取變數。 | Railway | 引述 |
| Railway表示，攻擊者於10月21日世界協調時間09:24已完全被逐出其系統。 | Railway | 引述 |
| Railway表示，解密資料包括BYOK代理金鑰及1,852名用戶的GitHub OAuth代幣。 | Railway | 引述 |
| Railway尚未確定原始攻擊者是否營運轉發或轉售AI供應商存取權限的服務。 | Railway | 引述 |
| Railway表示，取證調查未顯示客戶資料庫曾被存取。 | Railway | 引述 |
| Railway表示，於10月21日世界協調時間09:25通知供應商有關可能受危害的金鑰。 | Railway | 已證實 |
| Railway表示，至10月22日世界協調時間22:49為所有方案恢復建置。 | Railway | 已證實 |
| Railway表示，於10月22日暫停新註冊，並於11月2日重新開放。 | Railway | 已證實 |
| BleepingComputer報道，Railway的外洩事件產生約74萬美元的欺詐性AI使用額。 | Railway, via BleepingComputer | 引述 |
| ShiftDelete報道，Railway於11月10日，即攻擊事件發生三周後，發表詳細事件報告。 | ShiftDelete | 引述 |
| MediaNama報道，Railway最初在調查事件期間暫停新建置及部署。 | MediaNama | 引述 |
| Railway表示，攻擊者首次以虛假帳戶註冊始於10月18日，而初步嘗試並不成功。 | Railway | 引述 |
| Railway表示，在暫停新建置及部署期間，客戶應用程式維持上線。 | Railway | 已證實 |
| Railway表示，已聘請外部取證公司調查惡意行為者。 | Railway | 已證實 |
| blog.railway.com於2026年11月10日發表報告。 | blog.railway.com | 已證實 |
| blog.railway.com於2026年10月22日發表報告。 | blog.railway.com | 已證實 |
未能核實
- 約74萬美元使用額估算如何計算，尚未確定
