Railway legt Oktober-Sicherheitsvorfall offen: KI-API-Schlüssel gestohlen und rund 740 000 Dollar betrügerische Nutzung
Der Hosting-Anbieter Railway hat am 10. November seinen vollständigen Bericht zum Sicherheitsvorfall vom 20. und 21. Oktober veröffentlicht: Der Angreifer zielte auf die von Kunden gespeicherten API-Schlüssel für KI-Dienste ab, konnte Umgebungsvariablen von maximal 100 000 Workspaces entschlüsseln, und die gestohlenen Schlüssel wurden für eine unbefugte Nutzung im Wert von rund 740 000 Dollar missbraucht.
API-Schlüssel von KI-Anbietern sind zu einem eigenständigen Ziel für Angreifer geworden. Der Application-Hosting-Dienst Railway hat an diesem Dienstag, dem 10. November, seinen vollständigen Bericht zum Sicherheitsvorfall vom 20. und 21. Oktober veröffentlicht. Nach Angaben des Unternehmens hatte es der Angreifer vor allem auf KI-Schlüssel abgesehen, die Kunden in ihren Umgebungsvariablen hinterlegen. Die entwendeten Schlüssel wurden für unbefugte Abfragen im Wert von rund 740 000 Dollar verwendet.
Eine Kette von Schwachstellen
Der Bericht beschreibt einen mehrstufigen Angriff. Am 20. Oktober nutzte der Angreifer eine unbekannte Schwachstelle in der Build-Infrastruktur von Railway aus, die sich mehrere Kunden auf demselben Host teilen. Dadurch brach er teilweise aus der Isolation aus und konnte Dateien des Wirtssystems lesen. Dort erbeutete er Zugangsdaten eines Builds, die eigentlich nur zum Übertragen von Container-Images dienen sollten, von einem internen Task-Planungssystem (Temporal) jedoch fälschlicherweise als vertrauenswürdiger Client akzeptiert wurden. Auf diese Weise las er den Verlauf von 353 Builds einschließlich der Variablen aus und erlangte eine Kopie des internen Code-Repositorys von Railway.
Dieser Quellcode ermöglichte es ihm, nach weiteren Einfallstoren zu suchen. In der Nacht des 21. Oktobers stieß er auf eine fehlerhafte OIDC-Konfiguration in der Deployment-Pipeline, beschaffte sich temporäre Cloud-Zugangsdaten und verband sich mit einer Orchestrierungsmaschine, auf der ein Schlüssel gespeichert war, mit dem sich Variablen von Kunden entschlüsseln ließen. Die Datenbankprotokolle zeigen, dass er gezielt nach Variablennamen filterte, die zu Schlüsseln von KI-Anbietern passten, und Kunden ins Visier nahm, die besonders viele Variablen hinterlegt hatten. Nach Angaben von Railway wurde der Angreifer am Morgen des 21. Oktobers aus den Systemen verbannt.
Das Ausmaß des Schadens
Bei maximal 1,85 Prozent der Workspaces, also rund 100 000, könnten Variablen entschlüsselt worden sein. Railway betont, dass es sich hierbei um eine Obergrenze handelt, da die Protokolle nur Umgebungen erfassen, nicht aber einzelne Variablen. Zudem wurden kontobezogene Tokens (BYOK-Agentenschlüssel, GitHub-OAuth-Tokens) von 1 852 Nutzern entschlüsselt; diese wurden ausnahmslos zurückgesetzt, und es wurden keine betrügerischen Anmeldungen bei Railway festgestellt. Während des Vorfalls forderte der Hosting-Anbieter GitHub, GitLab, Anthropic, OpenAI, OpenRouter, SpaceXSI, Google und Stripe auf, potenziell exponierte Schlüssel zu sperren.
Wer übernimmt die Rechnung von rund 740 000 Dollar? Das hängt vom jeweiligen Anbieter ab. AWS Bedrock und Google erstatten die Kosten im Rahmen ihrer Richtlinien zur Betrugsprävention, OpenAI und SpaceXSI prüfen Anträge im Einzelfall. Railway übernimmt vorläufig die Kosten für Anthropic, bis eine Einigung erzielt ist, sowie für OpenRouter, das an seiner Ausschlussklausel für Erstattungen festhält.
Mutmaßungen ohne abschließenden Beweis
Railway vermutet, dass die Schlüssel für Relay-Dienste bestimmt waren, die den Zugriff auf Modelle weiterverkaufen – insbesondere für die Destillation, also das Trainieren eines Modells anhand der Ausgaben eines anderen. Die beobachtete betrügerische Nutzung reichte von Coding-Agenten bis hin zu Trainings-Pipelines. Der Bericht hält zudem fest, dass sich der Angreifer auf Modelle stützte, deren Schutzvorkehrungen entfernt worden waren. Schließlich spricht Railway von einer Angriffsserie auf Plattformen, die KI-Schlüssel speichern, und verweist auf ähnliche Vorfälle bei OpenCode, Warp und Fireworks AI zwischen dem 6. und 23. Oktober – ein Nachweis, dass es sich um denselben Täter handelt, steht jedoch aus.
Unsere Einschätzung
Ein API-Schlüssel für KI-Dienste ist inzwischen ein geldwerter Vermögenswert wie eine Kreditkarte: Er lässt sich schnell weiterverkaufen und verbrauchen, während die Rechnung beim Kunden landet. Der Bericht von Railway ist ungewöhnlich detailliert, und die Lehre daraus reicht weit über diesen Anbieter hinaus: Ein zu weit gefasster Berechtigungsnachweis, ein übermäßig vertrauensseliges internes System und eine Fehlkonfiguration reichten aus, um an die Geheimnisse Tausender Kunden zu gelangen. Für Entwickler ergibt sich daraus eine praktische Konsequenz: Schlüssel, die bei Dritten hinterlegt werden, müssen bei Rechten und Budget strikt eingeschränkt und beim geringsten Verdacht erneuert werden. Die Erstattungsregeln variieren je nach Anbieter stark, und hier springt der Hosting-Dienst ein, um die Differenzen auszugleichen. Es gibt keine Garantie, dass künftige Opfer ebenso verfahren.
Quellen
- Railway — Incident Report: October 21st Security Attack (10. November 2026) Primärquelle
- Railway — Preliminary Report: Oct 21st Security Incident Primärquelle
- BleepingComputer — Railway breach leads to $740,000 in fraudulent AI charges Sekundärquelle
Eine Primärquelle stammt direkt von dem betreffenden Unternehmen, Labor oder der Organisation. Eine Sekundärquelle gibt die Information wieder, ohne ihr Urheber zu sein: Wir kennzeichnen sie als solche. Einen Fehler entdeckt? Lesen Sie unsere Korrekturrichtlinie.
