💬 观点碰撞，进群聊聊
#Vazamento de segredos do Railway causa roubo de US$ 370 mil
Um desenvolvedor contou como foi roubado.
O prejuízo: US$ 370 mil.
O ponto de entrada não foi uma chave privada nem uma frase-semente.
Foi o vazamento de segredos da plataforma de implantação Railway.
A cadeia de acontecimentos não foi complicada.
As credenciais dos ambientes de hospedagem de código e implantação foram obtidas.
O atacante usou as permissões para chegar a serviços relacionados à carteira.
O dinheiro foi transferido em poucas horas.
A plataforma também demorou para resolver o problema.
O Railway só restabeleceu as compilações do plano Enterprise na noite de quarta-feira.
Os usuários de outros planos ainda aguardam a substituição das credenciais.
Quem foi afetado só pode, por enquanto, trocar todas as chaves.
Pequenas equipes costumam tratar as plataformas de implantação como caixas de ferramentas.
Quando as credenciais entram no repositório de código, é como se fossem públicas.
Logs e caches de compilação também podem guardar cópias.
As permissões das plataformas de implantação costumam ser mais amplas do que as de uma chave de API de exchange.
A troca das chaves deve seguir a ordem das dependências.
Tokens antigos também podem permanecer no cache de compilação.
Quando algo dá errado, a primeira medida é isolar o ambiente.
No mundo das criptomoedas, as vulnerabilidades mais caras muitas vezes não estão na blockchain, mas nos scripts de implantação.
Você acha seguro guardar segredos em variáveis de ambiente? Vamos conversar nos comentários.
#Vazamento de segredos do Railway causa roubo de US$ 370 mil
Um desenvolvedor contou como foi roubado.
O prejuízo: US$ 370 mil.
O ponto de entrada não foi uma chave privada nem uma frase-semente.
Foi o vazamento de segredos da plataforma de implantação Railway.
A cadeia de acontecimentos não foi complicada.
As credenciais dos ambientes de hospedagem de código e implantação foram obtidas.
O atacante usou as permissões para chegar a serviços relacionados à carteira.
O dinheiro foi transferido em poucas horas.
A plataforma também demorou para resolver o problema.
O Railway só restabeleceu as compilações do plano Enterprise na noite de quarta-feira.
Os usuários de outros planos ainda aguardam a substituição das credenciais.
Quem foi afetado só pode, por enquanto, trocar todas as chaves.
Pequenas equipes costumam tratar as plataformas de implantação como caixas de ferramentas.
Quando as credenciais entram no repositório de código, é como se fossem públicas.
Logs e caches de compilação também podem guardar cópias.
As permissões das plataformas de implantação costumam ser mais amplas do que as de uma chave de API de exchange.
A troca das chaves deve seguir a ordem das dependências.
Tokens antigos também podem permanecer no cache de compilação.
Quando algo dá errado, a primeira medida é isolar o ambiente.
No mundo das criptomoedas, as vulnerabilidades mais caras muitas vezes não estão na blockchain, mas nos scripts de implantação.
Você acha seguro guardar segredos em variáveis de ambiente? Vamos conversar nos comentários.
