Die taiwanesische PaaS-Plattform Zeabur hat am 27. August 2026 einen Sicherheitsvorfall gemeldet, bei dem interne Dienstzertifikate unbefugt verwendet wurden. Angreifer konnten mit diesen Zertifikaten auf die Datenbank zugreifen, die Umgebungsvariablen von Projekten speichert, was zur Offenlegung sensibler Informationen wie API-Keys/Tokens für OpenAI, Anthropic, OpenRouter, Gemini, GitHub, AWS, Cloudflare, Stripe und andere sowie Datenbankverbindungsstrings und JWT Secrets führte. Der Gründer Lin Yuanlin hat den Vorfall öffentlich bestätigt und erklärt, dass nach Überprüfung der einzelnen Verluste so schnell wie möglich Entschädigungen geleistet werden. In diesem Artikel werden die derzeit von der offiziellen Seite veröffentlichten Maßnahmen, die Sofortmaßnahmen, die Benutzer ergreifen sollten, sowie die zeitlichen Zufälle im Zusammenhang mit der LiteLLM-Sicherheitslücke zusammengefasst.
Ereigniszeitlinie: 8/27 Entdeckung → 8/28 Benachrichtigung → 8/29 Erklärung des Gründers
Basierend auf der öffentlichen Erklärung von Zeabur-Gründer Lin Yuanlin sowie der offiziellen Statusseite (https://status.zeabur.com/incident/1037896) und Medienberichten (Dongqu, INSIDE) sieht die Ereigniszeitlinie wie folgt aus:
- 2026-08-27: Zeabur bestätigt, dass eine Gruppe interner Dienstzertifikate unbefugt verwendet wurde, und Angreifer konnten dadurch auf die Datenbank zugreifen, die Umgebungsvariablen speichert.
- Am selben Tag: Das Zeabur-Team hat die erste Kontrolle durchgeführt, die Zertifikate widerrufen und den Zugriff blockiert.
- 2026-08-28: Betroffene Benutzer wurden in zwei Gruppen benachrichtigt; die offizielle Seite erklärte auch, dass eine Selbstüberprüfung erforderlich sei, da jede Übereinstimmung mit bekannten Zertifikatsformaten möglicherweise bereits exponiert wurde.
- 2026-08-29: Gründer Lin Yuanlin entschuldigt sich öffentlich und erklärt, dass nach Überprüfung der einzelnen Verluste schnell Entschädigungen geleistet werden.
Medienberichte erwähnten ebenfalls, dass Benutzer am 28. August frühzeitig Unregelmäßigkeiten bei der Abrechnung entdeckten und den Kundenservice kontaktierten. Am Nachmittag erhielten sie die Antwort „keine Unregelmäßigkeiten“, und erst gegen 17 Uhr erhielten sie die offizielle Benachrichtigung. Der Gründer erklärte in seiner Stellungnahme, dass er weiterhin überwachen und alle möglicherweise betroffenen Benutzer einzeln benachrichtigen werde und mit den upstream-Anbietern sowie den Strafverfolgungsbehörden für weitere Untersuchungen zusammenarbeiten werde.
Umfang der Offenlegung + Bekannte tatsächlich missbrauchte Dienste
Bestätigt wurde, dass die Schlüssel in den Umgebungsvariablen offengelegt wurden, die folgende Kategorien abdecken:
- AI / LLM API: OpenAI, Anthropic, OpenRouter, Gemini
- Quellcode-Hosting: GitHub
- Cloud-Dienste: AWS, Cloudflare
- Zahlungsdienste: Stripe
- Datenbankverbindungsstrings
- JWT Secrets und andere Anwendungsschlüssel
- Anthropic
- OpenAI
- OpenRouter
Aufgrund verdächtiger Aktivitäten bei LiteLLM hat Zeabur AI Hub den Dienst bis auf Weiteres eingestellt. Die offizielle Seite wird in Kürze einen vollständigen Bericht und einen Entschädigungsplan veröffentlichen. Weitere Fortschritte können auf der [Zeabur Status Page](https://status.zeabur.com) verfolgt werden.
Zufall der LiteLLM-Sicherheitslücke (offiziell nicht bestätigt)
Die offizielle Seite von Zeabur hat noch nicht bestätigt, dass dieser Vorfall direkt mit LiteLLM in Verbindung steht. Zufällig wurde jedoch einen Tag vor dem Vorfall eine hochriskante Sicherheitslücke auf dem offiziellen GitHub von LiteLLM veröffentlicht: [GHSA-3cv6-jpf6-8222](https://github.com/BerriAI/litellm/security/advisories/GHSA-3cv6-jpf6-8222).
Der Inhalt der Sicherheitslücke besagt, dass angemeldete LiteLLM-Benutzer möglicherweise durch speziell gestaltete Anfragen LiteLLM dazu bringen können, die upstream API-Keys (einschließlich OpenAI, Claude usw.) offenzulegen.
Wenn Sie LiteLLM als API-Proxy verwenden:
- Aktualisieren Sie LiteLLM sofort auf die gepatchte Version.
- Beschränken Sie kontrollierbare Parameter wie api_base, um die Offenlegung interner Endpunkte zu vermeiden.
- Überprüfen und ändern Sie alle upstream API-Keys (OpenAI / Anthropic / OpenRouter usw.).
- Überprüfen Sie die Zugriffsprotokolle von LiteLLM und achten Sie auf ungewöhnliche Aufrufe.
⚠️ Hinweis: Zeabur hat nicht bestätigt, dass die LiteLLM-Sicherheitslücke die Ursache für diesen Vorfall ist. Derzeit kann nur gesagt werden, dass die beiden Ereignisse zeitlich sehr nah beieinander liegen. Zeabur hat erklärt, dass sie dies in einem späteren vollständigen Bericht klären werden.
4 Schritte, die Benutzer sofort unternehmen sollten
Wenn Sie jemals API-Keys oder Cloud-Tokens in den Umgebungsvariablen von Zeabur gespeichert haben (unabhängig davon, ob Sie eine Benachrichtigung von Zeabur erhalten haben oder nicht), befolgen Sie bitte sofort die folgenden Schritte:
- Schritt 1 — Widerrufen Sie alte Keys: Gehen Sie zu Ihrem ursprünglichen Dienstanbieter (OpenAI / Anthropic / OpenRouter / GitHub / AWS / Stripe usw.) und widerrufen Sie die betroffenen Keys. Der Widerruf kann nicht nur durch das Löschen der Umgebungsvariablen in Zeabur erfolgen, da die alten Keys weiterhin gültig sind.
- Schritt 2 — Erstellen Sie neue Keys: Erstellen Sie im Backend des ursprünglichen Dienstanbieters neue Keys und fügen Sie diese in die Umgebungsvariablen von Zeabur ein.
- Schritt 3 — Überprüfen Sie den Verbrauch und die Abrechnung: Melden Sie sich im Backend des ursprünglichen Dienstanbieters an und überprüfen Sie den API-Verbrauch, den Token-Verbrauch und die Abrechnung der letzten 7 Tage. Achten Sie auf plötzliche Anstiege oder ungewöhnliche Anfrage-Muster (z. B. unbekannte Prompts, ungewöhnlicher Verbrauch zu später Stunde).
- Schritt 4 — Überprüfen Sie die Zugriffsprotokolle: Wenn der ursprüngliche Dienstanbieter ein Anfrageprotokoll bereitstellt (z. B. OpenAI Usage, Anthropic Console), laden Sie die Protokolle der letzten 7 Tage herunter, um Beweise zu sichern.
⚠️ „Widerruf“ ist entscheidend: In den meisten API-Dienstanbietern wird durch „neue Keys erstellen“ der alte Key nicht automatisch ungültig. Sie müssen aktiv den alten Key „widerrufen“, sonst könnte der alte Key weiterhin missbraucht werden.
Wie man Hilfe von Zeabur anfordert und Beweise einreicht
Wenn Sie vermuten, dass Ihr Key missbraucht wurde, befolgen Sie bitte zuerst das oben beschriebene Verfahren zum Widerrufen und Erstellen neuer Keys und bereiten Sie die folgenden Informationen vor:
- Zeitraum des Missbrauchs (je genauer, desto besser)
- Betroffene Beträge oder Token-Verbrauchszahlen
- IP-Adresse des Anfrageursprungs, Geräte-ID (device fingerprint) und andere Trace-Informationen
- Weitere Beweise, die bei der Untersuchung durch die Strafverfolgungsbehörden helfen können
Reichen Sie die oben genannten Informationen auf der technischen Support-Seite von Zeabur ein. Die offizielle Seite hat erklärt, dass alle Anfragen im Zusammenhang mit diesem Vorfall mit höchster Priorität bearbeitet werden und dass nach Abschluss der notwendigen Untersuchungen und Verifizierungen so schnell wie möglich Entschädigungen geleistet werden.
Selbstschutz der Benutzer — Beste Praktiken zur Vermeidung ähnlicher Vorfälle
Dieser Vorfall hat die inhärenten Risiken der „zentralisierten Verwaltung von Umgebungsvariablen“ auf PaaS-Plattformen aufgezeigt: Sobald die internen Zertifikate der Plattform kompromittiert sind, könnten alle Benutzerschlüssel gleichzeitig exponiert werden. Hier sind einige sofort umsetzbare Selbstschutzmaßnahmen:
- Schlüssel sollten nicht langfristig auf einer einzigen Plattform gespeichert werden: Wenn möglich, speichern Sie sie lokal oder in Ihrem eigenen Secret Manager (z. B. 1Password, AWS Secrets Manager, GCP Secret Manager).
- Setzen Sie für jeden Dienst ein Ausgabenlimit: Sowohl OpenAI als auch Anthropic unterstützen ein festes Budget-Limit, um bei ungewöhnlichem Verbrauch sofort abschalten zu können.
- Rotieren Sie regelmäßig Keys: Wechseln Sie alle 90 Tage die API-Keys, um das Expositionsfenster bei einem einmaligen Leak zu verringern.
- Aktivieren Sie IP-Whitelisting im Backend der AI-Anbieter: Beschränken Sie den Zugriff auf die API-Keys nur auf bestimmte IP-Bereiche.
- Erstellen Sie für jeden Dienst separate Keys: Verwenden Sie nicht denselben Key für alle Dienste, um im Falle eines Vorfalls schnell widerrufen zu können.
- Richten Sie Verbrauchsbenachrichtigungen ein: Automatische E-Mail/SMS-Benachrichtigungen, wenn der Verbrauch einen bestimmten Schwellenwert überschreitet.
Für Entwicklungsteams gibt es weitergehende Maßnahmen: Kurzfristig — Verschlüsselung der Umgebungsvariablen-Keys (Plattformen wie Zeabur sollten KMS-ähnliche Verschlüsselung nativ unterstützen). Mittelfristig — Implementierung von Zero-Trust-Secret-Retrieval, z. B. HashiCorp Vault, AWS Secrets Manager. Langfristig — Drängen Sie SaaS-Anbieter, API-Keys in kurzlebige Tokens (z. B. OAuth-Style) umzuwandeln, um das Risiko der Exposition statischer Schlüssel zu verringern.
Öffentliche Erklärung des Gründers Lin Yuanlin
Hier ist der Wortlaut der Erklärung von Gründer Lin Yuanlin, die am 29. August veröffentlicht wurde (Auszug):
„Hallo zusammen, ich bin Yuanlin Lin, der Gründer von Zeabur. Bezüglich des gestern entdeckten Sicherheitsvorfalls mit den Umgebungsvariablen von Zeabur haben wir bereits folgende Maßnahmen ergriffen: Am Tag der Entdeckung der Anomalie haben wir sofort die erste Kontrolle durchgeführt; wir überwachen weiterhin auf weitere Anomalien; wir benachrichtigen alle möglicherweise betroffenen Benutzer einzeln und veröffentlichen eine Mitteilung; wir arbeiten mit upstream-Anbietern und den Strafverfolgungsbehörden für weitere Untersuchungen zusammen.“
„Wenn Sie unsere Benachrichtigung erhalten haben oder derzeit API-Keys von Drittanbietern wie OpenAI, Anthropic, OpenRouter usw. in Zeabur gespeichert haben, bitten wir Sie, so schnell wie möglich die untenstehenden Anweisungen zur Rotation zu befolgen und sofort Ihren Verbrauch und Ihre Abrechnung zu überprüfen.“
„Wenn Sie feststellen, dass Ihre Zertifikate missbraucht wurden, führen Sie bitte sofort die Zertifikatsrotation durch und überprüfen Sie den Verbrauch und die Abrechnung der betreffenden Dienste. Bitte helfen Sie uns, die missbräuchlichen Anfragen aus dem Backend der AI-Anbieter zu erhalten: Zeitpunkt, Betrag oder Token-Verbrauch, IP des Anfrageursprungs, Geräte-ID und andere Informationen, die uns bei der Untersuchung durch die Strafverfolgungsbehörden helfen können.“
„Bitte reichen Sie alle Informationen, die uns bei der Zusammenarbeit mit den Strafverfolgungsbehörden zur Untersuchung und Verifizierung Ihrer Verlustsituation helfen, auf der technischen Support-Seite von Zeabur ein. Wir werden alle Anfragen im Zusammenhang mit diesem Vorfall mit höchster Priorität bearbeiten und nach Abschluss der notwendigen Untersuchungen und Verifizierungen so schnell wie möglich Entschädigungen leisten.“
Fazit: Weitere Entwicklungen und offizieller Statuslink
Dieser Vorfall erinnert uns erneut daran, dass das Speichern von API-Keys in den Umgebungsvariablen von Drittanbieter-PaaS-Plattformen im Wesentlichen bedeutet, alle Schlüssel in einem einzigen Tresor zu lagern. Wenn der Tresor einmal aufgebrochen wird, sind alle Benutzer betroffen.
Die vollständigen Ursachen, die Anzahl der betroffenen Personen, der Zeitrahmen für Entschädigungen und der endgültige Vorfallbericht zu Zeabur werden von der offiziellen Seite in Kürze veröffentlicht. Leser können die neuesten Fortschritte über die folgenden Kanäle verfolgen:
- Offizielle Zeabur Statusseite: [status.zeabur.com](https://status.zeabur.com)
- Zeabur Vorfallnummer: [incident/1037896](https://status.zeabur.com/incident/1037896)
- Details zur LiteLLM-Sicherheitslücke: [GHSA-3cv6-jpf6-8222](https://github.com/BerriAI/litellm/security/advisories/GHSA-3cv6-jpf6-8222)
- Medienberichte: Dongqu, INSIDE
Wenn Sie verdächtigen Verbrauch feststellen oder Informationen zu Verlustfällen einreichen müssen, wenden Sie sich bitte so schnell wie möglich über die technische Support-Seite von Zeabur an das offizielle Team.