🚨 Hinweis für Betreiber von Trading-Bots: Sicherheitsvorfall bei der Cloud-Plattform Railway – Umgebungsvariablen könnten offengelegt worden sein
Railway gab am 21. Oktober bekannt, dass ungewöhnliche Zugriffe auf ein System festgestellt wurden, in dem Umgebungsvariablen von Kunden gespeichert sind. Die Untersuchung ergab, dass unbefugte Dritte möglicherweise auf verschlüsselte Umgebungsvariablen zugreifen konnten. In einigen Fällen sollen sie auch die entschlüsselten Inhalte erhalten haben.
🔹 Deployments sind derzeit pausiert
🔹 Railway fordert alle Nutzer auf, API-Keys und Zugangsdaten für private Image-Repositories, die in Railway gespeichert sind, sofort zu erneuern und die Logs der betreffenden Dienste zu überprüfen
🔹 Einige Entwickler berichten, sie hätten in Echtzeit beobachtet, wie ihre Schlüssel missbraucht wurden. Außerdem hätten sie Warnmeldungen zu Datenlecks von Diensten wie Anthropic und Stripe erhalten
🔹 Railway geht davon aus, dass die Angreifer es tatsächlich auf Schlüssel für KI-Inferenzdienste abgesehen hatten
Warum sollte die Krypto-Szene das interessieren? Viele stellen aus Bequemlichkeit Trading-Bots, Copy-Trading-Skripte und TG-Bots direkt auf solchen Plattformen bereit. Dabei stehen API-Keys für Kryptobörsen oder sogar private Wallet-Schlüssel in den Umgebungsvariablen.
Mein Rat: Wenn du Railway genutzt hast, solltest du jetzt Folgendes tun:
1. Lösche den alten API-Key direkt im Konto deiner Kryptobörse und erstelle einen neuen – benenne ihn nicht einfach nur um
2. Gib dem neuen Key nur Handelsberechtigungen, deaktiviere Auszahlungen und richte eine IP-Whitelist ein
3. Wenn du private Schlüssel in Umgebungsvariablen gespeichert hast, erstelle eine neue Wallet und transferiere deine Assets. Warte nicht ab
4. Überprüfe die letzten Order- und Transferhistorien deines Kontos
Ganz ehrlich: In den letzten zwei Tagen wurde LiteLLM kompromittiert und Railway gehackt – ein Vorfall nach dem anderen bei Entwicklertools. Wenn deine Schlüssel auf den Servern anderer liegen, hast du die Sicherheit nicht vollständig selbst in der Hand.
Wo läuft dein Bot? Hat dein API-Key Auszahlungsberechtigungen? Schreib’s in die Kommentare 👇
#网络安全 #API安全 #量化交易 #币圈防骗
Railway gab am 21. Oktober bekannt, dass ungewöhnliche Zugriffe auf ein System festgestellt wurden, in dem Umgebungsvariablen von Kunden gespeichert sind. Die Untersuchung ergab, dass unbefugte Dritte möglicherweise auf verschlüsselte Umgebungsvariablen zugreifen konnten. In einigen Fällen sollen sie auch die entschlüsselten Inhalte erhalten haben.
🔹 Deployments sind derzeit pausiert
🔹 Railway fordert alle Nutzer auf, API-Keys und Zugangsdaten für private Image-Repositories, die in Railway gespeichert sind, sofort zu erneuern und die Logs der betreffenden Dienste zu überprüfen
🔹 Einige Entwickler berichten, sie hätten in Echtzeit beobachtet, wie ihre Schlüssel missbraucht wurden. Außerdem hätten sie Warnmeldungen zu Datenlecks von Diensten wie Anthropic und Stripe erhalten
🔹 Railway geht davon aus, dass die Angreifer es tatsächlich auf Schlüssel für KI-Inferenzdienste abgesehen hatten
Warum sollte die Krypto-Szene das interessieren? Viele stellen aus Bequemlichkeit Trading-Bots, Copy-Trading-Skripte und TG-Bots direkt auf solchen Plattformen bereit. Dabei stehen API-Keys für Kryptobörsen oder sogar private Wallet-Schlüssel in den Umgebungsvariablen.
Mein Rat: Wenn du Railway genutzt hast, solltest du jetzt Folgendes tun:
1. Lösche den alten API-Key direkt im Konto deiner Kryptobörse und erstelle einen neuen – benenne ihn nicht einfach nur um
2. Gib dem neuen Key nur Handelsberechtigungen, deaktiviere Auszahlungen und richte eine IP-Whitelist ein
3. Wenn du private Schlüssel in Umgebungsvariablen gespeichert hast, erstelle eine neue Wallet und transferiere deine Assets. Warte nicht ab
4. Überprüfe die letzten Order- und Transferhistorien deines Kontos
Ganz ehrlich: In den letzten zwei Tagen wurde LiteLLM kompromittiert und Railway gehackt – ein Vorfall nach dem anderen bei Entwicklertools. Wenn deine Schlüssel auf den Servern anderer liegen, hast du die Sicherheit nicht vollständig selbst in der Hand.
Wo läuft dein Bot? Hat dein API-Key Auszahlungsberechtigungen? Schreib’s in die Kommentare 👇
#网络安全 #API安全 #量化交易 #币圈防骗