Railway-Einbruch: Alle Nutzer sollen ihre Geheimnisse austauschen

Railway ist eine Cloud-Plattform, auf der Entwickler ihre Anwendungen bereitstellen. Am 21. Oktober 2026 hat das Unternehmen offengelegt, dass ein Angreifer an die Geheimnisse seiner Kunden gelangt sein könnte. Laut Railway hat eine unbefugte externe Partei möglicherweise auf verschlüsselte Umgebungsvariablen zugegriffen. Bei einigen davon erhielt der Angreifer auch den entschlüsselten Inhalt. Railway bittet nun jeden Nutzer, jedes auf der Plattform gespeicherte Geheimnis auszutauschen, ob sich das Unternehmen bei ihm gemeldet hat oder nicht.

Was laut Railway passiert ist

Eine Umgebungsvariable ist eine benannte Einstellung, die eine App beim Start liest. Entwickler nutzen sie, um API-Schlüssel, Datenbankpasswörter und Registry-Zugänge aus dem Quellcode herauszuhalten. Damit gehört der Speicher für Umgebungsvariablen zu den sensibelsten Systemen einer Hosting-Plattform.

Laut der Sicherheitsmeldung von Railway entdeckte das Unternehmen am 21. Oktober „heute früh“ ungewöhnliche Aktivitäten in diesen Systemen. Die erste Analyse deutet darauf hin, dass nur ein Teil der Nutzer betroffen ist. Wie viele, hat Railway nicht gesagt. Betroffene Kunden sollen eine E-Mail erhalten, sobald feststeht, welche Konten getroffen wurden.

Railway hat auch nicht gesagt, wie der Angreifer hineingekommen ist. Laut TechCrunch hat das Unternehmen auf eine Bitte um Stellungnahme nicht reagiert.

Das Unternehmen sieht den Vorfall als einen von mehreren jüngsten Angriffen auf Plattformanbieter, die darauf zielen, „KI-Inferenzanbieter zu kompromittieren“. Inferenzanbieter verkaufen den Zugang zu KI-Modellen, und Kunden bezahlen diesen Zugang über API-Schlüssel. Die anderen Plattformen nannte Railway nicht.

Was Railway bisher getan hat

Railway hat alle Deployments angehalten, während es den Vorfall untersucht. TechCrunch schrieb, dass die Pause Websites und Apps von Kunden praktisch eingefroren hat. Außerdem hat Railway seine vorgelagerten Anbieter kontaktiert und sie gebeten, Schlüssel vorsorglich zu widerrufen.

The Hacker News nennt weitere Schritte. Railway hat alle Zugangsdaten seiner Storage-Buckets ausgetauscht und die Railway-API-Tokens ungültig gemacht. Danach hat es die Builds für Pro- und Enterprise-Workspaces wieder freigegeben, damit diese Kunden ihre neuen Zugangsdaten ausrollen können.

Andere Tarife warten noch. Laut der Statusseite arbeitet Railway weiter daran, Builds „für Hobby, dann Free und Trial“ freizuschalten. Einige Builds schlagen demnach noch häufiger fehl als üblich, und viele Deployments stehen weiter in der Warteschlange.

Ein Muster bei Angriffen auf Entwicklerwerkzeuge

Railway ist in diesem Monat nicht die erste Entwicklerplattform, die Schlüssel von Kunden verliert. OpenCode meldete am 17. Oktober, dass ein Einbruch 1,4 % der Nutzer von OpenCode Console betraf, wobei die dort gespeicherten Schlüssel von KI-Anbietern offenlagen. TechCrunch merkt an, dass OpenCode seinen Vorfall einen „KI-Destillationsangriff“ nannte. Ob beide Fälle zusammenhängen, hat Railway nicht gesagt.

The Hacker News zitiert außerdem Taylor Monahan aus der Sicherheitsforschung. Laut Monahan haben Angreifer Kryptowallets geleert, deren private Schlüssel bei Railway gespeichert waren. Die Meldung von Railway erwähnt keinen Wallet-Diebstahl.

Was das für Entwickler bedeutet

Behandeln Sie jedes Geheimnis auf Railway als offengelegt, auch wenn Sie keine E-Mail bekommen. Der Rat des Unternehmens gilt für alle Nutzer.

• An der Quelle austauschen, nicht nur in Railway. Wer eine Variable im Dashboard ändert, macht eine gestohlene Kopie nicht unbrauchbar. Erzeugen Sie bei jedem Anbieter einen neuen Schlüssel, widerrufen Sie den alten und tragen Sie erst dann den neuen Wert in Railway ein.
• Mit den Schlüsseln beginnen, die Geld kosten oder an Daten reichen. Das heißt zuerst Schlüssel von KI-Anbietern, Cloud-Schlüssel und Datenbankpasswörter. Railway nennt auch Zugangsdaten für private Registries.
• Die Logs lesen. Railway bittet Nutzer, die Logs betroffener Dienste auf ungewöhnliche Aktivität zu prüfen. Am 22. Oktober hat es zwei Anleitungen veröffentlicht, wie man in AWS und Google Cloud ungewöhnliche Zugriffe findet.
• Die Rechnungen für KI-Nutzung prüfen. Railways eigene Vermutung zielt auf Inferenzanbieter. Ein plötzlicher Anstieg der Modellnutzung ist ein schnelles Zeichen, dass ein Schlüssel in fremden Händen ist.
• Railway-API-Tokens in der CI ersetzen. Railway hat diese Tokens nach eigenen Angaben ungültig gemacht, also schlägt ein Deploy-Job mit einem alten Token fehl, bis Sie einen neuen erstellen.
• Krypto-Guthaben verschieben. Lag der private Schlüssel einer Wallet je in einer Railway-Variable, schützt das Austauschen der Variable ihn nicht. Verschieben Sie das Guthaben in eine neue Wallet.
• Vorerst mit langsamen Deployments rechnen. Auf der Statusseite von Railway, Vorfall QH8L8B3E, steht, wann die Builds für Ihren Tarif zurückkommen.