💬 观点碰撞，进群聊聊
#Railwayの認証情報漏えいで37万ドルが盗難

ある開発者が、自身が被害に遭った経緯を公開しました。
被害額は37万ドル。
侵入口は秘密鍵でも、シードフレーズでもありません。
デプロイプラットフォーム「Railway」の認証情報漏えいでした。

攻撃の流れは複雑ではありません。
コード管理やデプロイ環境の認証情報が盗まれ、
攻撃者はその権限をたどってウォレット関連のサービスにアクセスしました。
資金は数時間のうちに送金されました。

プラットフォーム側の復旧も遅れました。
Railwayが企業版のビルドを再開したのは水曜夜になってからです。
他のプランのユーザーは、認証情報の更新をまだ待っています。
被害を受けた人たちは、まずすべてのキーをローテーションするしかありませんでした。

小規模なチームは、デプロイプラットフォームを何でも入った道具箱のように使いがちです。
認証情報を一度コードリポジトリに入れてしまえば、公開したも同然です。
ログやビルドキャッシュにもコピーが残ることがあります。

デプロイプラットフォームの権限は、取引所のAPIキーより大きいことも少なくありません。
キーのローテーションは、依存関係の順序に沿って行う必要があります。

ビルドキャッシュに古いトークンが残っている可能性もあります。
問題が起きたら、まず環境を隔離しましょう。

暗号資産の世界で最も高くつく脆弱性は、ブロックチェーン上ではなく、デプロイスクリプトに潜んでいることがよくあります。
認証情報を環境変数に入れておけば安全だと思いますか？コメント欄で話しましょう。