Hackers stalen AI-sleutels bij Railway: 740.000 dollar schade

Cloudplatform Railway publiceerde op 10 november het volledige rapport over de inbraak van eind oktober. De conclusie is pijnlijk voor klanten: aanvallers stalen API-sleutels van AI-diensten en draaiden daarmee voor ongeveer 740.000 dollar aan AI-gebruik af. Dat staat in het incidentrapport van Railway en werd eerder gemeld door BleepingComputer.

Twee lekken achter elkaar

De aanval begon op 20 oktober. Volgens Railway misbruikte de aanvaller een nog onbekend lek in de build-omgeving, waarmee hij gedeeltelijk uit de afgeschermde bouwomgeving wist te breken. Met een gestolen interne sleutel las hij buildgeschiedenissen en een kopie van de broncode van Railway. Daarin vond hij een tweede zwakke plek: een verkeerd ingestelde vertrouwensrelatie (een OIDC-koppeling) die kortlevende cloudtoegang opleverde. Zo kwam hij uiteindelijk terecht bij de database met versleutelde omgevingsvariabelen en bij de sleutelbeheerdienst.

Railway schat dat bij hooguit 1,85 procent van de werkruimtes variabelen zijn ontsleuteld, zo’n 100.000 stuks. Het bedrijf benadrukt dat dit de maximale blootstelling is en geen telling van bevestigde slachtoffers. Bij 1.852 gebruikers lagen ook gekoppelde tokens op straat, waaronder GitHub-tokens en sleutels voor AI-agents. Die zijn allemaal gereset. Op 22 oktober had de aanvaller volgens Railway geen toegang meer.

Het ging om AI-sleutels

De aanvaller zocht gericht naar sleutels van AI-aanbieders, al keek hij ook naar toegang tot clouddiensten, databases en betaaldiensten. Railway vermoedt dat de sleutels zijn doorverkocht aan tussenstations die ze gebruiken voor distillatie: het leegtrekken van een groot model om er een eigen, goedkoper model mee te trainen. Dat speelde eerder ook bij de beschuldigingen dat DeepSeek en Moonshot GPT-6 Astra zouden hebben gekopieerd.

Wie de schade betaalt, verschilt per aanbieder. AWS Bedrock en Google Gemini betalen terug onder hun bestaande fraudebeleid. OpenAI en SpaceXSI bekijken het per geval. Voor Anthropic schiet Railway de kosten voorlopig zelf voor terwijl de gesprekken lopen. OpenRouter betaalt niets terug, dus daar draait Railway zelf voor de rekening op.

Onderdeel van een golf

Railway is niet het enige doelwit. Beveiligingsbedrijf Wiz beschrijft een reeks aanvallen op ontwikkelplatforms voor AI, die het Black October noemt. BleepingComputer noemt daarbij ook Northflank, OpenCode, Warp en Lightning AI. Railway zegt zelf dat het onderzoek van Wiz de aanval niet aan een specifieke dader koppelt. Eerder deze maand werd ook Fireworks AI opnieuw gehackt en in oktober stal een besmette LiteLLM-versie twee uur lang AI-sleutels.

Railway heeft de lekken gedicht. Elke build draait nu op een eigen virtuele machine die na afloop verdwijnt, gevoelige handelingen vragen tweestapsverificatie en biometrie en het ontsleutelen van geheimen wordt centraal gelogd.

Wat betekent dit?

Een API-sleutel van een AI-dienst is inmiddels gewoon geld waard. Wie zo’n sleutel in een omgevingsvariabele bij een hostingpartij bewaart, riskeert dat een ander er op zijn kosten mee rekent. Stel daarom bestedingslimieten in bij je AI-aanbieder, gebruik per project een aparte sleutel en vervang sleutels direct na een melding als deze. Hoe makkelijk geheimen weglekken, liet ook Claude Code zien met 2.539 wachtwoorden en sleutels op GitHub. En aanvallers worden sneller: met tools als goedkope hackende AI-agents proberen ze veel routes tegelijk.