Sikkerhetsbrudd hos Jernbane
Jernbane har avdekket et sikkerhetsbrudd som blockchain-etterforsker Taylor Monahan har knyttet til omtrent $371,000 i kryptovaluta som er tappet fra 19 EVM-kompatible nettverk. Ifølge Jernbanes sikkerhetsavsløring den 21. oktober, oppdaget skydeployeringsplattformen uvanlig aktivitet som involverte systemer brukt til å lagre kundens miljøvariabler, som kan inneholde sensitiv informasjon som API-nøkler, databasenøkler og private registreringslegitimasjoner.
Uautorisert tilgang og tap av midler
En uautorisert tredjepart kan ha fått tilgang til krypterte variabler og fått tak i de dekrypterte innholdene av noen av dem, selv om selskapet sa at deres etterforskning fortsatt pågikk og antallet berørte kunder ikke var fastslått. Monahan rapporterte den 22. oktober at angripere hadde tappet kryptovaluta fra private nøkler lagret i Jernbane, med det mistenkte tyveriet involverende mer enn 500 transaksjoner på over 200 distinkte adresser.
«Den mistenkte angriperadressen er 0xd9773325282874d18cb83f1fe50f14c39750b2ee, og den første kjente kryptovaluta-tyveritransaksjonen fant sted kl. 19:36 UTC den 21. oktober.»
Monahan identifiserte at transaksjonene ble utført ved hjelp av et relativt standard lommebok-sveiper-skript, snarere enn programvare utviklet spesifikt for hendelsen. Slike skript er designet for å overføre tilgjengelig kryptovaluta fra lommebøker hvis private nøkler har blitt kompromittert.
Tidslinje for hendelsene
Monahans funn tyder på at angriperen hadde fått tilgang til legitimasjoner som kunne autorisere transaksjoner fra de berørte adressene. Imidlertid har Jernbane ikke uavhengig bekreftet de rapporterte kryptovalutatapene eller fastslått hvordan angriperen fikk tak i lommeboklegitimasjonene identifisert av Monahan. Det rapporterte beløpet på $371,000 forblir et eksternt estimat, og de tilgjengelige avsløringene fastslår ikke om ytterligere lommebøker ble kompromittert.
I et separat innlegg stilte Monahan spørsmål ved tidspunktet for Jernbanes offentlige avsløring og skisserte en sekvens av tjenesteavbrudd som begynte flere timer før den første kryptovaluta-tyveritransaksjonen hun identifiserte. Ifølge tidslinjen hun delte, pauset Jernbane byggingen kl. 07:24 UTC den 21. oktober. Innen kl. 09:28 UTC hadde avbruddet påvirket deres API, kommandolinjegrensesnitt, dashbord og distribusjonstjenester.
«Brukere fortsatte å motta tjenesteoppdateringer gjennom dagen mens selskapet jobbet med å gjenopprette tilgangen til systemene sine.»
Monahan plasserte den første kjente kryptovaluta-tyverien til 19:36 UTC, omtrent 12 timer etter den første byggestansen. Kl. 21:11 UTC ble Jernbanes medgründer og administrerende direktør Jake Cooper sitert i tidslinjen mens han diskuterte varsler fra Stripe og Ant angående kompromitterte legitimasjoner.
Reaksjon og anbefalinger
Jernbane publiserte sin sikkerhetsavsløring kl. 21:51 UTC, mer enn to timer etter den første tyveritransaksjonen identifisert av Monahan. Tidslinjen fastslår ikke når Jernbane først ble klar over det mistenkte kryptovaluta-tyveriet eller om de tidligere tjenesteavbruddene ble direkte forårsaket av den uautoriserte tilgangen.
Jernbane sa at deres innledende etterforskning antydet at bruddet kan ha påvirket bare en delmengde av kundene, men anbefalte at alle som bruker plattformen umiddelbart erstatter sine lagrede miljøvariabler og tilknyttede legitimasjoner. Selskapet anbefalte spesifikt kundene å rotere API-nøkler og private registreringslegitimasjoner mens de sjekket tjenestelogger for uvanlig aktivitet.
Mulige sammenhenger med andre angrep
Jernbane mener hendelsen kan være knyttet til en serie angrep mot plattformfirmaer som var ment å kompromittere AI-inferensleverandører. Selv om selskapet ikke identifiserte de mistenkte angriperne eller de involverte leverandørene, sa det at det hadde varslet oppstrøms tjenester slik at de kunne tilbakekalle potensielt eksponerte nøkler som en forholdsregel.
Distribusjoner ble midlertidig suspendert under etterforskningen, noe som hindret kundene i å rulle ut nye applikasjonsversjoner til byggtjenesten ble gjenopprettet. I en oppfølging den 22. oktober bekreftet Jernbane at de hadde tilbakestilt lagringsbøttelegitimasjoner og GitHub-tokens holdt for kundekontoer og tjenester.
Selskapet sa at de tidligere legitimasjonene ikke lenger ville fungere, noe som krevde at berørte kunder måtte distribuere tjenester på nytt ved hjelp av de erstatningslagringslegitimasjonene og koble til GitHub-kontoene sine på nytt.
Avslutning
Eksponering av legitimasjoner har vært ansvarlig for flere kryptovaluta-sikkerhetshendelser i år, selv om metodene som ble brukt for å få tilgang har vært forskjellige. Jernbane sa at de ville kontakte kundene direkte via e-post når etterforskerne bekreftet hvilke kontoer som hadde blitt berørt, med ytterligere informasjon som skulle publiseres gjennom deres sikkerhetskunngjøring og status-side.
