Por Canuto  

Una vulnerabilidad que pudo exponer variables de entorno de Railway quedó vinculada por la investigadora Taylor Monahan con drenajes de criptomonedas estimados en USD $371.000. Las transacciones abarcarían 19 redes compatibles con EVM y habrían empezado más de dos horas antes de la divulgación pública de la plataforma.

***

  • Taylor Monahan relacionó más de 500 transacciones en al menos 19 redes EVM con un robo estimado en USD $371.000.
  • La primera transacción sospechosa identificada ocurrió a las 19:36 UTC del 21 de octubre, antes del aviso público de Railway.
  • La empresa pausó despliegues, pidió rotar credenciales y luego restableció tokens de GitHub y credenciales de almacenamiento.

 

Una brecha de seguridad en Railway, plataforma de despliegue en la nube, pudo haber expuesto variables de entorno de clientes que contenían credenciales sensibles, incluidas claves privadas. La investigadora de blockchain Taylor Monahan vinculó el incidente con más de 500 transacciones de criptomonedas y pérdidas estimadas en USD $371.000, repartidas en al menos 19 redes compatibles con Ethereum Virtual Machine (EVM).

Railway dijo que detectó actividad inusual en sistemas utilizados para almacenar esas variables, pero no ha establecido cuántos clientes resultaron afectados ni confirmado de manera independiente las pérdidas reportadas. La primera transacción sospechosa que identificó Monahan ocurrió a las 19:36 UTC del 21 de octubre, más de dos horas antes de la divulgación pública de seguridad de la empresa.

Una brecha vinculada con drenajes en múltiples redes

Las variables de entorno permiten que una aplicación acceda a información necesaria para funcionar sin incluirla directamente en su código visible. Railway explicó que esos datos pueden contener claves API, contraseñas de bases de datos y credenciales para registros privados, mientras que Monahan señaló que entre la información comprometida habría claves privadas capaces de autorizar movimientos de criptomonedas.

Según la investigación de Monahan, los fondos salieron de más de 200 direcciones distintas mediante más de 500 transacciones. Su estimación sitúa el total sustraído en torno a USD $371.000 y abarca al menos 19 redes compatibles con EVM, un entorno técnico que permite desplegar contratos inteligentes y aplicaciones con funciones similares entre distintas cadenas.

La investigadora identificó como dirección sospechosa del atacante a 0xd9773325282874d18cb83f1fe50f14c39750b2ee. También describió las operaciones como compatibles con un script de vaciado de billeteras de uso relativamente estándar, una herramienta que transfiere los activos disponibles cuando alguien obtiene acceso a las claves privadas de una dirección.

Ese análisis no demuestra por sí solo cómo consiguió el atacante las credenciales ni confirma que todas las transacciones estén conectadas con la brecha de Railway. La empresa no ha verificado de forma independiente el monto señalado por Monahan, y la información disponible tampoco permite determinar si hubo otras billeteras comprometidas o si el cálculo representa la totalidad de las pérdidas.

La cronología sitúa las primeras transacciones antes del aviso público

La secuencia de interrupciones que Monahan compartió comienza a las 07:24 UTC del 21 de octubre, cuando Railway pausó las construcciones de aplicaciones. A las 09:28 UTC, la suspensión ya abarcaba también la API, la interfaz de línea de comandos, el panel de control y otros servicios de despliegue, mientras la empresa publicaba actualizaciones sobre la recuperación del acceso.

La primera transacción sospechosa que la investigadora pudo identificar ocurrió a las 19:36 UTC, unas doce horas después de la pausa inicial de las construcciones. Esa diferencia de tiempo plantea preguntas sobre cuándo detectaron los atacantes el acceso a las credenciales, aunque la cronología pública no prueba que las interrupciones tempranas tuvieran una causa directa en la extracción de fondos.

A las 21:11 UTC, Jake Cooper, cofundador y director ejecutivo de Railway, comentó en la secuencia de hechos que había recibido notificaciones de Stripe y Ant relacionadas con credenciales comprometidas. Railway publicó su divulgación de seguridad aproximadamente a las 21:51 UTC, más de dos horas después del primer movimiento sospechoso identificado por Monahan.

La diferencia entre la hora de la primera transacción y la divulgación no permite concluir cuándo supo Railway del posible robo ni si la compañía había relacionado entonces los movimientos con su incidente de seguridad. La plataforma atribuyó la interrupción a una investigación sobre actividad inusual, mientras Monahan cuestionó el momento en que el público recibió información sobre la brecha y sus posibles consecuencias.

Railway suspendió despliegues y pidió reemplazar credenciales

En su aviso del 21 de octubre, Railway dijo que un tercero no autorizado pudo haber accedido a variables cifradas y obtenido el contenido descifrado de algunas de ellas. La empresa indicó que su investigación seguía en curso y que, en esa etapa, no tenía confirmado el número de clientes afectados; su evaluación inicial apuntaba a que el incidente podría limitarse a un subconjunto de usuarios.

Aun así, Railway recomendó a todos sus clientes reemplazar las variables de entorno almacenadas y las credenciales asociadas, incluidas las claves API y los datos de acceso a registros privados. También les pidió revisar los registros de sus servicios para buscar actividad inusual, una medida que permite comprobar si credenciales legítimas aparecen en operaciones que sus titulares no reconocen.

La empresa suspendió temporalmente los despliegues durante la investigación, por lo que los clientes no podían implementar nuevas versiones de sus aplicaciones hasta la recuperación del servicio de construcción. Railway también dijo que sospechaba una posible conexión con una serie de ataques contra compañías de plataformas, cuyo objetivo habría sido comprometer proveedores de inferencia de inteligencia artificial, aunque no identificó a los presuntos atacantes ni a los proveedores involucrados.

Como medida preventiva, Railway notificó a servicios ascendentes para que pudieran revocar claves potencialmente expuestas. En una actualización del 22 de octubre, la compañía confirmó que había restablecido las credenciales del bucket de almacenamiento y los tokens de GitHub mantenidos para cuentas y servicios de clientes; los valores anteriores dejaron de funcionar, por lo que los usuarios afectados debían volver a desplegar servicios y reconectar sus cuentas.

El alcance sigue bajo investigación y las credenciales vuelven al centro

La cifra de USD $371.000 es una estimación de Monahan, no un balance confirmado por Railway. Del mismo modo, la identificación de más de 200 direcciones y 19 redes describe el alcance que la investigadora atribuye a las transacciones observadas, pero no constituye una lista definitiva de clientes afectados ni una evaluación completa de los activos comprometidos.

La incertidumbre central está en el vínculo entre las variables expuestas y las claves privadas presuntamente utilizadas para vaciar billeteras. Railway reconoció que algunas variables descifradas pudieron quedar al alcance de un tercero, mientras que los hallazgos de Monahan apuntan a credenciales con capacidad para autorizar transferencias; la compañía todavía no ha explicado de manera concluyente cómo ocurrió la extracción.

El incidente también se inserta en un contexto de pérdidas anteriores vinculadas con la exposición de credenciales, aunque los métodos descritos en cada caso fueron diferentes. En julio, un paquete de desarrollador relacionado con Injective distribuyó código malicioso que buscaba recopilar claves privadas y frases semilla; la firma de seguridad Socket señaló que el paquete afectado había registrado más de 300 descargas y que la actualización maliciosa se propagó a través de 17 paquetes relacionados.

Otros casos citados en la cobertura incluyen el drenaje de casi USD $18 millones en USDC de la bóveda de liquidez de la plataforma de trading Ostium, tras un incidente relacionado con credenciales de firma de oráculo, según Blockaid. En abril, Syndicate Labs informó que una clave de actualización filtrada permitió comprometer su puente entre cadenas y sustraer tokens SYND y fondos de usuarios; Railway dijo que contactaría directamente por correo electrónico a los clientes cuando confirmara qué cuentas fueron afectadas y que publicaría nuevas actualizaciones en sus canales de seguridad y estado.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA




ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados