Violazioni · 7 ore fa
Railway ha comunicato che una parte dei clienti potrebbe aver subito l’accesso non autorizzato alle variabili d’ambiente, in alcuni casi decifrate; non ha precisato quanti account siano coinvolti. La ricercatrice Taylor Monahan riferisce che l’incidente è stato seguito dal furto di criptovalute da wallet le cui chiavi private erano conservate sulla piattaforma.
Queste variabili contengono spesso le chiavi con cui un’app accede a database, API o wallet. Chi ne ottiene i valori può usarli direttamente sui servizi collegati: invalidare i token di Railway non annulla le credenziali copiate né gli accessi già effettuati. Railway ha ripristinato le build per gli spazi Pro ed Enterprise, ma alcuni rilasci restano in coda o falliscono.
Il perimetro dell’esposizione segue ogni segreto fino al servizio che apre. Lo stesso rischio riguarda le credenziali conservate su altre piattaforme cloud di deployment: la compromissione può propagarsi oltre l’account che le ospita.
2 fonti che coprono questa storia
Developer platform Railway urges 'all users' to revoke secret keys after cyberattack | TechCrunch
The vibe-coding platform said all of its customers should revoke and rotate their private keys, after hackers were able to decrypt some customer secrets.
Railway Says Intruder May Have Accessed Customer Secrets, Urges Credential Rotation
Railway says an intruder may have accessed decrypted environment variables for some users, as a researcher reports related cryptocurrency theft.
Part of the PlainSec briefing for 2026-10-22