Zeabur 環境變數外洩事件：Anthropic、OpenAI、OpenRouter 等 API 金鑰疑遭竊取

部署平台 Zeabur 於 8 月 28 日（星期三）偵測到內部服務憑證遭到未授權存取，事件導致用戶項目中的環境變數資料外洩，多個 AI 服務的 API 金鑰疑似被盜取。該事件在偵測當日已受到控制，涉事憑證被撤銷並輪替，官方正與第三方保安專家合作調查（Zeabur 於 8 月 28 日 15:11 香港時間偵測到本次存取）。

事件經過

Zeabur 指出，偵測到有內部服務憑證被用來讀取項目環境變數記錄。該公司隨即撤銷受影響的內部金鑰、封鎖存取路徑，並在同日控制事件。目前官方確認外洩的環境變數名稱包括 ACCESS_TOKEN、API_SECRET、AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、CF_API_TOKEN、CLIENT_SECRET、CLOUDFLARE_API_TOKEN、DIGITALOCEAN_TOKEN、GEMINI_API_KEY、GITHUB_PAT、GITHUB_TOKEN、GOOGLE_API_KEY、LINODE_TOKEN、PRIVATE_KEY、STRIPE_PUBLISHABLE_KEY、STRIPE_SECRET_KEY、ANTHROPIC_API_KEY、OPENROUTER_API_KEY、OPENAI_API_KEY、DATABASE_URL、JWT_SECRET、MONGODB_URI、MYSQL_PASSWORD、POSTGRES_PASSWORD、REDIS_PASSWORD 及 SECRET_KEY。

此外，當用戶自訂變數名稱之下儲存的憑證，數值若符合可識別的 AWS、GitHub、Anthropic、OpenRouter、OpenAI 或 Stripe 憑證格式，亦被確認外洩。受影響用戶已獲直接通知，通知中列明相關的項目、服務、環境與建議的輪替措施。

攻擊路徑

官方公布的初步調查指出，攻擊者取得一條屬於 Zeabur 的洩漏內部 AWS 管理員憑證，並利用它存取位於東京地區的共享 AWS 叢集。取得叢集存取權後，攻擊者得以取得控制平面網絡的 VPN 存取，並連線至 Zeabur 的主要資料庫。基於查詢模式與後續活動，攻擊者似乎專門鎖定 AI 服務的 API 金鑰及其他可直接使用的憑證。

對於客戶資料、服務配置與伺服器配置等其他敏感數據類別，目前取得的記錄主要顯示為統計或探索性質的操作，例如計算記錄數量或檢查數據大小。官方指出暫未有直接證據顯示攻擊者曾大規模讀取或匯出這些數據，但不排除其他數據被存取的可能。

社交平台流傳的「暗網」截圖

網絡上流傳一張截圖，聲稱有完整的 Zeabur 資料庫或大量客戶數據在暗網上出售。Zeabur 表示，根據系統記錄與已收集的證據，目前資料不支持該說法，亦無法核實截圖的來源與真確性，會將此說法納入調查並持續更新。

AI Hub 服務暫停

調查期間，Zeabur 在與事件相關的系統中識別到涉及 LiteLLM（用於 Zeabur AI Hub）的異常活動。作為預防措施並避免影響擴大，公司已暫時暫停 AI Hub 服務，正調查該活動與本次事件的關聯。

對用戶的建議

Zeabur 強烈建議受影響用戶立即撤銷並更換所有列出的憑證，並檢查相應資料庫與第三方服務是否有異常存取、使用或收費。若環境變數包含可直接使用的資料庫憑證，而相關資料庫可從公共網絡存取，攻擊者有可能在取得憑證後以自動化工具嘗試連線。透過 Zeabur 管理伺服器的用戶，亦建議輪替 SSH 密碼或金鑰、查閱近期登入記錄，並按情況以來源 IP 限制存取及停用密碼登入。

補償安排

Zeabur 確認會就本次事件造成的損失提供補償，並已建立初步補償程序。用戶如因無故使用遭外洩憑證而產生額外費用，可透過 Zeabur 支援單據提交相關資料，包括受影響服務供應商提供的使用記錄、時間戳記、金額及可用作核實的其他資訊。

信用卡資料是否安全

Zeabur 表示不會直接儲存完整的信用卡號碼、安全碼或等價付款憑證，信用卡資料由 Stripe 儲存並處理，應用系統與內部團隊均無法存取用戶的完整卡資料。根據目前辨識的攻擊路徑與數據存取活動，官方沒有發現事件涉及存取由 Stripe 儲存的完整信用卡資料。

常見問題

問：Zeabur 目前是否安全可用？

發現事件後，Zeabur 已撤銷並輪替已知受影響的憑證及相關內部金鑰，並加強受影響系統的存取控制、記錄與異常活動監控。官方至今未有觀察到持續未授權活動，但攻擊者曾取得基礎設施內較深入的存取層級，第三方數碼鑑證調查仍在進行，目前無法作出絕對保證。

問：攻擊者是否可能曾存取我在 Zeabur 部署的服務內數據？

基於攻擊者當時取得的存取層級，官方不能完全排除技術上曾嘗試存取的機會；但以目前證據而言，未有直接證據顯示曾大規模存取或匯出用戶服務內儲存的數據。

問：補償程序需要準備甚麼資料？

用戶需提交受影響服務供應商提供的使用記錄、時間戳記、金額及其他可用作核實的資料。Zeabur 會逐宗個案審查，並在核實後安排補償。

資料來源：Zeabur 官方事件報告