Railway-hack: wat crypto-gebruikers met bots en API-sleutels nu moeten doen

De Amerikaanse hostingaanbieder Railway heeft op 21 oktober 2026 gemeld dat een onbevoegde derde mogelijk toegang heeft gehad tot de opgeslagen omgevingsvariabelen van zijn klanten en een deel daarvan heeft ontsleuteld. In zulke variabelen staan API-sleutels, databasetoegangen en bij veel cryptodiensten ook exchangesleutels en private walletsleutels. Railway raadt alle klanten aan om alle sleutels te vervangen. Beveiligingsonderzoeker Taylor Monahan telt al uitstromen van ongeveer 371.000 dollar uit wallets waarvan de sleutels bij Railway lagen; Railway heeft dat verband niet bevestigd. Ook Cryptoticker is klant van Railway en heeft de waarschuwing in de nacht ontvangen.

Hoe het incident verliep, wat de voorwaarden van Railway over aansprakelijkheid zeggen en waarom dit een zaak voor de politiek is, heeft onze oprichter Dennis Weidner uitgebreid geduid, met een screenshot van de klantenmail: Railway-beveiligingsincident: waarom de aansprakelijkheid bij 100 dollar ophoudt.

Railway-hack: het belangrijkste op een rij

• 21 oktober 2026, 21.59 uur UTC: Railway meldt op zijn statuspagina het beveiligingsincident en raadt aan alle omgevingsvariabelen in te trekken.
• Ongeveer 371.000 dollar stroomde volgens Taylor Monahan vanaf 19.36 uur UTC weg, via meer dan 500 transacties vanaf meer dan 200 adressen op minstens 19 blockchains.
• Meer dan 2 miljoen ontwikkelaars gebruiken Railway volgens het bedrijf zelf. Hoeveel klanten getroffen zijn, zegt het bedrijf niet.
• 22 oktober, 04.17 uur UTC: Railway maakt alle eigen API-tokens van zijn klanten ongeldig.
• 100 dollar is de aansprakelijkheidsgrens in de gebruiksvoorwaarden van Railway, als de vergoedingen van de afgelopen twaalf maanden lager zijn.

Railway-hack: wat er tot nu toe bekend is

Railway is een platform waarop ontwikkelaars toepassingen, databases en achtergronddiensten draaien zonder eigen servers te beheren. Ook cryptoprojecten gebruiken zulke platforms, bijvoorbeeld voor tradingbots, Telegram-bots en kleine back-ends. Op de ochtend van 21 oktober meldde de statuspagina eerst een platformstoring, builds werden stilgezet. In de avond volgde de beveiligingsmelding van oprichter Jake Cooper: Railway had afwijkende activiteit ontdekt op de systemen die omgevingsvariabelen opslaan en vermoedt een reeks aanvallen op platformbedrijven met als doel AI-aanbieders te compromitteren (beveiligingsmelding van Railway).

Hoe de aanvallers binnenkwamen en welke klanten getroffen zijn, maakt Railway nog niet bekend. Het bedrijf heeft zelf de toegangsgegevens van alle opslagbuckets en de GitHub-koppelingen gereset en op 22 oktober alle Railway-API-tokens ongeldig gemaakt (statuspagina van het incident). Builds voor Enterprise-klanten liepen vanaf 03.32 uur UTC weer, voor Pro-klanten vanaf 06.29 uur UTC; kleinere abonnementen wachtten rond het middaguur nog.

Walletuitstromen na de Railway-hack: wat on-chainanalisten melden

De eerste gevolgen kwamen vóór de waarschuwing. Beveiligingsonderzoeker Taylor Monahan schreef in de nacht op X dat private sleutels van Railway kennelijk met een veelgebruikt sweeper-script waren leeggehaald. Zij telt ongeveer 371.000 dollar, meer dan 500 transacties, meer dan 200 getroffen adressen en minstens 19 EVM-blockchains, vanaf 21 oktober om 19.36 uur UTC (Taylor Monahan op X). De dienst Onchain Lens meldt een vermoedelijke wallet van de aanvaller die minstens 369.300 dollar naar exchange HitBTC en andere adressen zou hebben gestuurd, en noemt het verband met Railway zelf onbevestigd.

De twee cijfers komen uit verschillende tellingen en kunnen niet bij elkaar worden opgeteld. Railway heeft de uitstromen niet bevestigd. Opvallend is het tijdsverloop: de uitstromen begonnen ruim twee uur voordat Railway zijn klanten publiekelijk waarschuwde. Wie zijn sleutels pas na de mail verving, was voor een getroffen wallet mogelijk al te laat.

Waarom cryptobots bij de Railway-hack extra kwetsbaar zijn

Een tradingbot heeft toegang tot een exchange nodig, een arbitrage- of sniperbot vaak rechtstreeks tot een wallet. Beide komen bij platforms als Railway doorgaans als omgevingsvariabele terecht: de API-sleutel met het secret van de exchange, of meteen de private key van een hot wallet. Wie die opslag opent, heeft geen ander lek nodig. Een private key volstaat om een tegoed in seconden naar een vreemd adres te verplaatsen, op alle blockchains waarop hetzelfde adres middelen aanhoudt.

Bij exchangesleutels hangt de schade af van de rechten. Een sleutel zonder opnamerecht en met IP-binding is voor een aanvaller weinig waard, een sleutel met opnamerecht is een open rekening. Hoe weinig rechten een belastingtool of bot echt nodig heeft, valt na te gaan in de API-instellingen van je exchange. Dat één enkele sleutel een accountovername kan overleven, bleek onlangs bij MEXC.

Daarbij komt het motief dat Railway zelf noemt: AI-sleutels. Gestolen toegangen tot taalmodellen worden doorverkocht; beveiligingsonderzoekers van Sysdig schatten de kosten voor een slachtoffer al in 2024 op meer dan 46.000 dollar per dag (Sysdig over LLMjacking). Wie in zijn cryptoproject AI-functies gebruikt, moet die sleutels net zo goed vervangen als de exchangetoegangen.

Railway-hack: sleutels vervangen, wallets verhuizen

Elke sleutel die bij Railway lag, geldt als bekend tot het tegendeel bewezen is. Vervangen gebeurt bij de uitgever, niet alleen in Railway. De volgorde hangt af van wat geld beweegt:

1. Eerst de wallets. Stond een private key of seedphrase in een variabele, verhuis het tegoed dan meteen naar een nieuw adres met een nieuwe sleutel, het liefst op een hardware wallet; welke apparaten geschikt zijn, laat onze vergelijking van hardware wallets zien. Alleen de variabele hernoemen beschermt niets.
2. Exchangesleutels intrekken. Verwijder de oude API-sleutels rechtstreeks bij de exchange en maak nieuwe aan, zonder opnamerecht en met een vast IP-adres. Controleer de lijst met toegestane opnameadressen. Voor bots zijn exchanges met duidelijke regels voor API-rechten geschikt, zoals gereguleerde crypto-exchanges met een MiCA-vergunning.
3. Logboeken lezen. Kijk bij elke exchange en elke dienst of er sinds 21 oktober toegang was vanaf vreemde IP-adressen, of orders of opnames die je niet kent.
4. AI- en betaalsleutels vervangen. Railway noemt in zijn handleidingen uitdrukkelijk OpenRouter, Grok, Anthropic, OpenAI en Stripe. Stel daar uitgavenlimieten in.
5. Databases beveiligen. Nieuwe wachtwoorden, open verbindingen beëindigen. Staan er klantgegevens in, dan loopt de termijn van 72 uur voor een melding aan de privacytoezichthouder.

Aansprakelijkheid: Railway betaalt hooguit 100 dollar

Een schadevergoeding heeft Railway niet aangekondigd. De gebruiksvoorwaarden in de versie van 20 april 2026 sluiten gevolgschade, bedrijfsonderbreking en gegevensverlies uit en beperken al het overige tot 100 dollar of de vergoedingen van de afgelopen twaalf maanden, afhankelijk van wat hoger is (Railway Terms of Service). De clausule staat volgens gearchiveerde versies sinds 2021 woordelijk in het contract. Het recht van Delaware is van toepassing, geschillen gaan naar arbitrage in San Francisco. Voor een leeggehaalde botwallet betekent dat: de schade draag je zelf. Waarom dat voor Europese bedrijven een principieel probleem is en wie je politiek kunt aanspreken, staat in de analyse van Dennis Weidner.

PHP2Shell: tweede kritieke lek in dezelfde week

Op dezelfde 21 oktober verschenen updates voor PHP2Shell, twee lekken in PHP met 9,2 van 10 punten, waarmee aanvallers zonder inloggen code op webservers kunnen uitvoeren. Ze zijn verholpen in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 (php.net). Het Bundesamt für Sicherheit in der Informationstechnik (BSI) raadt aan ongepatchte systemen zo nodig van het net te halen. Voor crypto-gebruikers betekent dat vooral: bij diensten op oudere PHP-techniek, zoals kleine webshops of betaalpagina’s met cryptokassa, loont het om inloggegevens niet dubbel te gebruiken. Meer gevallen verzamelen we in onze rubriek crypto-hacks en beveiliging.

Dit artikel is geen beleggingsadvies. We werken het bij zodra Railway de aanvalsroute of het aantal getroffenen bekendmaakt.

(Per 22 oktober 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)