Облачная платформа для деплоя Zeabur 19 октября опубликовала предварительный отчёт о втором за два месяца взломе и объявила о закрытии.
Что произошло
14–15 октября атакующий с утёкшими внутренними ключами — AWS-ключом и админ-токеном общего кластера — получил доступ к общему кластеру, части выделенных серверов и внутренним системам, а затем прочитал базу данных платформы:
- около 3,2 млн записей переменных окружения (имена и значения);
- данные 321 810 аккаунтов — email, имя пользователя, телефон, проекты;
- секреты в 9 регионах общего кластера, выполнение команд в 865 контейнерах БД (в основном n8n и PostgreSQL);
- root-входы на 101 выделенный сервер GCP, на 50 из них добавлены SSH-ключи.
Причина
Долгоживущие админ-учётки лежали открытым текстом в репозитории конфигурации и работали из публичного интернета. Токен админа кластера создан в январе 2024 года без срока действия и не был ротирован после августовского инцидента — заявление о «ротации всех ключей» оказалось неполным.
Что дальше
Zeabur прекращает работу 31 декабря 2026 года: с 1 декабря отключаются продления и приостанавливаются сервисы общего кластера. Всем пользователям рекомендовано заменить каждый секрет из переменных окружения (сначала отозвав старые), сменить пароли БД, ключ шифрования n8n и ключи AI-провайдеров, пересоздать токены. Серверы GCP считать скомпрометированными и пересобрать, удалив неизвестные SSH-ключи, в том числе с меткой @zeabur-pentest.
Deployment platform Zeabur published a preliminary report on Oct 19 about its second breach in two months and announced it is shutting down.
What happened
On Oct 14–15 an attacker using leaked internal keys — an AWS key and a shared-cluster admin token — got into the shared cluster, some dedicated servers and internal systems, then read the platform database:
- about 3.2 million environment-variable records (names and values);
- data for 321,810 accounts — email, username, phone, projects;
- secrets across 9 shared-cluster regions, plus command execution in 865 database containers (mostly n8n and PostgreSQL);
- root logins on 101 GCP dedicated servers, with SSH keys added to 50 of them.
Root cause
Long-lived admin credentials sat in plaintext in a configuration repository and worked from the public internet. The cluster admin token was created in January 2024 with no expiry and was not rotated after the August incident — the earlier claim that all keys had been rotated was incomplete.
What’s next
Zeabur will cease operations on Dec 31, 2026: renewals stop and shared-cluster services pause from Dec 1. All users are told to replace every secret stored in environment variables (revoking the old ones first), change database passwords, the n8n encryption key and AI provider keys, and recreate tokens. GCP servers should be treated as compromised and rebuilt, removing unknown SSH keys, including those tagged @zeabur-pentest.