🚨 Atenção, quem usa bots de trading quantitativo: a plataforma de nuvem Railway sofreu um incidente de segurança e as variáveis de ambiente podem ter sido expostas
A Railway informou em 21 de outubro que detectou acessos anormais a um sistema que armazena variáveis de ambiente dos clientes. A investigação indicou que terceiros não autorizados podem ter tido acesso às variáveis de ambiente criptografadas e, em alguns casos, também ao conteúdo já descriptografado.
🔹 As implantações estão suspensas no momento
🔹 A empresa pediu a todos os usuários que troquem imediatamente as API Keys e as credenciais de repositórios privados de imagens armazenadas na Railway e verifiquem os registros dos serviços relacionados
🔹 Alguns desenvolvedores relataram ter visto suas chaves serem usadas indevidamente em tempo real e recebido alertas de exposição de serviços como Anthropic e Stripe
🔹 A Railway acredita que o verdadeiro alvo dos invasores eram as chaves de serviços de inferência de IA
Por que o pessoal do mercado cripto deveria se importar? Muita gente, pela praticidade, coloca bots de trading, scripts de copy trading e bots do Telegram diretamente nessas plataformas. As API Keys das corretoras e até as chaves privadas de carteiras ficam armazenadas nas variáveis de ambiente.
Minha recomendação para quem já usou a Railway: faça isto agora:
1. Exclua a API Key antiga diretamente no painel da corretora e crie outra — não basta mudar o nome
2. Dê à nova chave apenas permissão para negociar, desative os saques e vincule-a a uma lista de IPs autorizados
3. Se você armazenou uma chave privada em uma variável de ambiente, crie uma nova carteira e transfira os ativos para ela. Não espere
4. Revise o histórico recente de ordens e transferências da sua conta
Sendo bem sincero, nestes últimos dois dias o LiteLLM foi comprometido por envenenamento e a Railway foi invadida. Uma ferramenta de desenvolvimento atrás da outra está tendo problemas. Quando você guarda suas chaves nos servidores de outra pessoa, a segurança deixa de estar totalmente nas suas mãos.
Onde seu bot está hospedado? A API Key tem permissão para saques? Vamos conversar nos comentários 👇
#网络安全 #API安全 #量化交易 #PrevençãoDeGolpesCripto
A Railway informou em 21 de outubro que detectou acessos anormais a um sistema que armazena variáveis de ambiente dos clientes. A investigação indicou que terceiros não autorizados podem ter tido acesso às variáveis de ambiente criptografadas e, em alguns casos, também ao conteúdo já descriptografado.
🔹 As implantações estão suspensas no momento
🔹 A empresa pediu a todos os usuários que troquem imediatamente as API Keys e as credenciais de repositórios privados de imagens armazenadas na Railway e verifiquem os registros dos serviços relacionados
🔹 Alguns desenvolvedores relataram ter visto suas chaves serem usadas indevidamente em tempo real e recebido alertas de exposição de serviços como Anthropic e Stripe
🔹 A Railway acredita que o verdadeiro alvo dos invasores eram as chaves de serviços de inferência de IA
Por que o pessoal do mercado cripto deveria se importar? Muita gente, pela praticidade, coloca bots de trading, scripts de copy trading e bots do Telegram diretamente nessas plataformas. As API Keys das corretoras e até as chaves privadas de carteiras ficam armazenadas nas variáveis de ambiente.
Minha recomendação para quem já usou a Railway: faça isto agora:
1. Exclua a API Key antiga diretamente no painel da corretora e crie outra — não basta mudar o nome
2. Dê à nova chave apenas permissão para negociar, desative os saques e vincule-a a uma lista de IPs autorizados
3. Se você armazenou uma chave privada em uma variável de ambiente, crie uma nova carteira e transfira os ativos para ela. Não espere
4. Revise o histórico recente de ordens e transferências da sua conta
Sendo bem sincero, nestes últimos dois dias o LiteLLM foi comprometido por envenenamento e a Railway foi invadida. Uma ferramenta de desenvolvimento atrás da outra está tendo problemas. Quando você guarda suas chaves nos servidores de outra pessoa, a segurança deixa de estar totalmente nas suas mãos.
Onde seu bot está hospedado? A API Key tem permissão para saques? Vamos conversar nos comentários 👇
#网络安全 #API安全 #量化交易 #PrevençãoDeGolpesCripto