배포 플랫폼 레일웨이 해킹, 훔친 AI 키로 약 74만 달러 사용 — 레일웨이에 키를 넣어 둔 개발자는 뭘 확인해야 하나?

레일웨이(Railway) 환경변수에 AI API 키를 넣어 두었다면, 10월 20일 이후 그 키의 사용 내역부터 확인해야 합니다. 레일웨이가 11월 10일(미국) 낸 최종 보고서에 따르면 공격자는 AI 제공사 키를 골라 노렸고, 훔친 키로 쓰인 무단 사용액은 약 74만 달러로 추정됩니다.

무슨 일인가

보고서에 따르면 공격자는 10월 20일 빌드 서버의 격리를 일부 벗어나 내부 자격증명을 얻었고, 클라우드 설정 오류를 거쳐 10월 21일 암호화된 환경변수를 꺼내 일부를 복호화했습니다. 영향은 전체 워크스페이스의 최대 1.85%(약 10만 개)이며, 데이터베이스 조회 기록에서 변수 이름으로 AI 제공사 키를 골라낸 흔적이 확인됐습니다. 사용자 1,852명의 연결 토큰(직접 등록한 에이전트용 키·깃허브 OAuth 토큰)도 복호화돼 모두 초기화됐습니다. 레일웨이는 훔친 키가 모델 증류(distillation)에 쓰이는 중계 서비스로 넘어간 것으로 보고 있습니다.

왜 중요한가

배포 플랫폼은 앱이 쓰는 모든 비밀 값을 한곳에 모아 두는 곳이라, 플랫폼이 뚫리면 내 코드가 멀쩡해도 키가 새어 나갑니다. 레일웨이는 10월 6~23일 OpenCode·Warp·Fireworks AI 등도 비슷한 키 도난을 공개했다며 AI 키를 보관하는 플랫폼을 노린 연속 공격의 하나로 평가했습니다.

내 사업·앱에 무슨 의미

• 레일웨이에 앱을 올린 개발자 — 키를 이미 바꿨더라도 10월 20일 이후 사용 내역은 따로 확인해야 환불을 신청할 수 있습니다.
• 외주로 앱을 맡긴 사장님 — 개발사가 어떤 배포 플랫폼에 키를 두는지, 사용 한도가 걸려 있는지 물어보세요.
• 다른 플랫폼 이용자 — AI 키에는 제공사 쪽 월 사용 한도와 알림을 걸어 두는 것이 가장 싼 보험입니다.

지금 해볼 것

앱몬스터 작업 폴더를 직접 찾아보니 레일웨이를 쓰는 프로젝트는 없었습니다. 그래서 이 글은 2026년 11월 기준 레일웨이 공식 보고서 내용으로만 정리했습니다.

Q&A — 레일웨이 해킹 자주 묻는 질문

출처

• Railway — Incident Report: October 21st Security Attack (2026-11-10)
• Railway — Preliminary Report: Oct 21st Security Incident
• Railway — Check for Unexpected OpenAI Usage 안내