资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
Railway安全事件：责任上限仅为100美元
Railway黑客攻击的关键事实
2026年10月21日，美国托管服务提供商Railway发布声明称，未经授权的第叁方可能已访问其为客户存储的环境变量，并解密了其中部分内容。这些变量中通常包含API密钥、数据库凭证，以及在许多加密货币服务中的交易所密钥和私钥。
Railway建议所有客户立即轮换（重置）所有密钥。安全研究人员Taylor Monahan指出，已有约37.1万美元从存储在Railway上的钱包中被转走；不过，Railway尚未证实这一关联。CryptoTicker也是Railway的客户之一，并于夜间收到了相关警告。
本次事件的经过、Railway服务条款中关于责任的规定，以及为何这成为政策制定者关注的问题，已由我们的创始人Dennis Weidner进行了详细阐述，并附有客户邮件的截图。
时间线回顾：
2026年10月21日 21:59 UTC：Railway在其状态页面上确认了此次安全事件，并建议客户撤销所有环境变量。根据Taylor Monahan的数据，自UTC时间19:36起，资金开始流出，涉及超过500笔交易，来自至少19条区块链上的200多个地址，总额约为37.1万美元。Railway自称拥有超过200万开发者用户，但未说明具体有多少客户受到影响。
2026年10月22日 04:17 UTC：Railway使其所有客户的使用Railway API令牌失效。根据其服务条款，若过去十二个月的费用低于100美元，责任上限为100美元。
目前已知情况：
Railway是一个让开发者无需管理自有服务器即可运行应用程序、数据库和后台服务的平台。加密货币项目也常利用此类平台运行交易机器人、Telegram机器人及小型后端服务。10月21日上午，状态页面首先报告了平台中断，构建任务被暂停。当晚，创始人Jake Cooper发布了安全通知：Railway检测到存储环境变量的系统存在异常活动，怀疑是一系列针对平台公司的攻击，旨在破坏AI提供商（参见Railway安全披露）。
截至目前，Railway尚未透露攻击者是如何入侵的，也未公布受影响的具体客户名单。该公司已重置所有存储桶和GitHub连接的凭证，并于10月22日使所有Railway API令牌失效（参见事件状态页面）。企业客户的构建服务于UTC时间03:32恢复，Pro版客户于06:29恢复，而较小套餐的用户至中午仍在等待。
Railway黑客攻击后的钱包流出：链上分析师的报告
后果在警告发出前便已出现。安全研究人员Taylor Monahan在X平台上发文指出，Railway上的私钥显然已被一个广泛使用的“扫荡脚本”清空。她统计的数据显示，自10月21日UTC时间19:36起，涉及超过500笔交易，影响200多个地址，跨越至少19条EVM兼容区块链，金额约为37.1万美元（参见Taylor Monahan在X上的帖子）。
Onchain Lens服务报告称，疑似攻击者钱包已向交易所HitBTC及其他地址发送至少369,300美元，但强调与Railway的直接联系尚未得到证实。这两个数据来自不同的统计口径，不能简单相加。Railway方面并未确认资金流出情况。值得注意的是时间点：资金流出开始于Railway公开警告客户前两小时左右。如果您仅在收到邮件后才轮换密钥，对于受影响的钱包而言，可能已经为时已晚。
为何加密机器人特别容易受到Railway黑客攻击的影响
交易机器人需要访问交易所，而套利或狙击机器人通常需要直接访问钱包。在Railway等平台上，这两者通常都以环境变量的形式存在：即交易所API密钥及其秘密代码，或者直接是热钱包的私钥。一旦该存储区被打开，就不需要第二个漏洞。只要有一个私钥，几秒钟内就能将余额转移到他人的地址，且适用于该地址持有资金的每条区块链。
对于交易所密钥，损失程度取决于权限设置。没有提现权限且限制IP地址的密钥对攻击者价值有限；而拥有提现权限的密钥则等同于开放账户。税务工具或机器人真正需要的权限很少，这在我们的“检查加密货币交易所API密钥”指南中有详细说明。最近MEXC的案例再次证明，单个密钥足以导致账户接管。
此外，Railway自身提到的动机是AI密钥。被盗的语言模型访问权限会被转售，Sysdig安全研究人员早在2024年就指出，受害者因此遭受的成本每天超过46,000美元（参见Sysdig关于LLMjacking的报告）。如果您在加密货币项目中使用AI功能，请像轮换交易所凭证一样轮换这些密钥。
Railway黑客攻击后的密钥轮换：先处理钱包，再处理交易所密钥
任何曾存储在Railway上的密钥，除非有相反证明，否则均视为已知泄露。轮换操作应在发行商处进行，而不仅仅是在Railway上。操作顺序应遵循资金流动的路径：
1. 优先处理钱包：
如果私钥或助记词存在于变量中，请立即将余额转移到使用新密钥的新地址，最好转入硬件钱包（请参阅我们的硬件钱包对比指南以确定适合的设备）。仅重命名变量无法提供任何保护。
2. 撤销交易所密钥：
直接在交易所删除旧的API密钥并创建新的，新密钥不应具有提现权限，并绑定固定IP地址。检查允许提现的地址列表。机器人更适合使用API权限规则明确的交易所，我们对受监管加密货币交易所的对比提供了概览。
3. 查阅日志：
在每个交易所和服务中，查找自10月21日以来来自陌生IP地址的访问记录，以及您不认识的订单或提款操作。
4. 轮换AI和支付密钥：
Railway自身的指南明确提到了OpenRouter、Grok、Anthropic、OpenAI和Stripe。在这些平台上设置支出限额。
5. 确保数据库安全：
更改新密码，终止开放连接。如果数据库中存有客户数据，向数据保护机构报告的72小时期限正在倒计时。
责任认定：Railway最高仅赔付100美元
Railway尚未宣布任何赔偿计划。其2026年4月20日版本的服务条款排除了间接损害、业务中断和数据损失，并将其他所有责任上限规定为100美元或过去十二个月费用的较高者（参见Railway服务条款）。根据存档版本，该条款自2021年以来一直一字未改地存在于合同中。适用特拉华州法律，争议需在旧金山进行仲裁。对于被洗空的机器人钱包，损失由用户自行承担。
这对德国公司而言是一个根本性问题，谁可以就此进行政治游说，Dennis Weidner的分析文章对此进行了阐述。
PHP2Shell：同一周出现的另一个关键缺陷
同一天（10月21日），出现了针对PHP2Shell的更新：两个评级为9.2/10的PHP漏洞，攻击者可借此在未登录的情况下在Web服务器上运行代码。这些问题已在PHP 8.5.12、8.4.27、8.3.36和8.2.35中得到修复（参见php.net）。德国联邦信息安全局（BSI）建议必要时将未修补的系统断网。对于加密货币用户而言，最重要的是：在使用旧版PHP堆栈的服务上（例如带有加密货币结账功能的小型商店或支付页面），不要重复使用凭据。我们在“加密货币黑客和安全”部分收集了更多案例。
本文不构成投资建议。我们将尽快更新内容，直到Railway公布攻击路径或受影响人数为止。
