Falha na Railway expõe segredos de clientes e interrompe deploys
Empresa diz que variáveis de ambiente criptografadas podem ter sido descriptografadas, permitindo uso indevido de chaves de API ou execução de workloads de IA cobrados nas contas das vítimas.
A Railway detectou atividade anômala em sistemas que armazenam variáveis de ambiente em 21 de outubro e afirma que uma parte não autorizada pode ter acessado valores criptografados e, em alguns casos, obtido o conteúdo descriptografado.
A companhia suspendeu todos os deploys, invalidou tokens da API da Railway, rotacionou credenciais internas de buckets e iniciou restaurações de builds em fases, com workspaces Pro e Enterprise restaurados primeiro.
A Railway pede que todos os usuários revoguem e rotacionem imediatamente variáveis de ambiente, chaves de API e credenciais de registros privados, e que revisem logs de serviços em busca de atividade incomum.
Pesquisadores independentes relataram ao menos um suposto roubo de carteira de criptomoedas ligado a chaves privadas armazenadas na Railway — alegação que a empresa ainda não confirmou publicamente, mas diz que enviará e‑mail aos clientes cujas contas forem confirmadas como afetadas.
A Railway relaciona o incidente a uma campanha mais ampla que mira plataformas para comprometer provedores de inferência de IA, padrão que empresas de segurança e agências dos Estados Unidos alertaram poder permitir que invasores roubem segredos, executem agentes maliciosos de IA ou transfiram custos de computação para as vítimas.