💬 观点碰撞，进群聊聊
#KebocoranKunciRailwayMenyebabkanPencurianSenilai370RibuDolar
Seorang developer menceritakan bagaimana dirinya menjadi korban pencurian.
Kerugiannya mencapai 370 ribu dolar.
Celahnya bukan kunci privat ataupun frasa pemulihan.
Melainkan kebocoran kunci pada platform deployment Railway.
Rangkaian kejadiannya tidak rumit.
Kredensial di lingkungan hosting kode dan deployment berhasil dicuri.
Penyerang lalu memanfaatkan akses tersebut untuk menjangkau layanan yang terkait dengan dompet kripto.
Dana dipindahkan dalam hitungan jam.
Perbaikannya oleh pihak platform juga lambat.
Railway baru memulihkan proses build untuk paket Enterprise pada Rabu malam.
Pengguna paket lainnya masih menunggu kredensial pengganti.
Mereka yang terdampak hanya bisa segera merotasi semua kunci.
Tim kecil sering menjadikan platform deployment sebagai kotak peralatan serbaguna.
Begitu kredensial masuk ke repositori kode, sama saja dengan memublikasikannya.
Log dan cache build juga bisa menyimpan salinannya.
Akses platform deployment sering kali lebih luas daripada API key bursa.
Rotasi kunci harus dilakukan sesuai urutan dependensinya.
Token lama juga mungkin masih tersimpan di cache build.
Hal pertama yang harus dilakukan setelah insiden adalah mengisolasi lingkungan.
Di dunia kripto, celah keamanan yang paling mahal sering kali bukan ada di blockchain, melainkan di skrip deployment.
Menurutmu, apakah menyimpan kunci di variabel lingkungan itu aman? Yuk, bahas di kolom komentar.
#KebocoranKunciRailwayMenyebabkanPencurianSenilai370RibuDolar
Seorang developer menceritakan bagaimana dirinya menjadi korban pencurian.
Kerugiannya mencapai 370 ribu dolar.
Celahnya bukan kunci privat ataupun frasa pemulihan.
Melainkan kebocoran kunci pada platform deployment Railway.
Rangkaian kejadiannya tidak rumit.
Kredensial di lingkungan hosting kode dan deployment berhasil dicuri.
Penyerang lalu memanfaatkan akses tersebut untuk menjangkau layanan yang terkait dengan dompet kripto.
Dana dipindahkan dalam hitungan jam.
Perbaikannya oleh pihak platform juga lambat.
Railway baru memulihkan proses build untuk paket Enterprise pada Rabu malam.
Pengguna paket lainnya masih menunggu kredensial pengganti.
Mereka yang terdampak hanya bisa segera merotasi semua kunci.
Tim kecil sering menjadikan platform deployment sebagai kotak peralatan serbaguna.
Begitu kredensial masuk ke repositori kode, sama saja dengan memublikasikannya.
Log dan cache build juga bisa menyimpan salinannya.
Akses platform deployment sering kali lebih luas daripada API key bursa.
Rotasi kunci harus dilakukan sesuai urutan dependensinya.
Token lama juga mungkin masih tersimpan di cache build.
Hal pertama yang harus dilakukan setelah insiden adalah mengisolasi lingkungan.
Di dunia kripto, celah keamanan yang paling mahal sering kali bukan ada di blockchain, melainkan di skrip deployment.
Menurutmu, apakah menyimpan kunci di variabel lingkungan itu aman? Yuk, bahas di kolom komentar.
