單據辨識與自動建檔：發票、訂單、出貨單不用再手打
2026-10-25
熊董筆記2026-10-23
Zeabur 倒了怎麼辦？兩個月被駭兩次、321 萬筆金鑰外洩，台灣部署平台關站深度解析
321 萬筆環境變數、32 萬個帳號、101 台伺服器被用最高權限登入——台灣部署平台 Zeabur 兩個月內被駭兩次，12 月 31 日全面關站。從「公寓大樓」的比喻講到工程師要的攻擊路徑：發生什麼、為什麼第二次又被打進來、還在上面的人怎麼搬家與換金鑰，以及老闆該學到的三件事。
🐻
熊董｜Johnny Yang
川輝科技創辦人
10 月 17 日，台灣的雲端部署平台 Zeabur 宣布：逐步結束營運，12 月 31 日全面關站。
這是一家成立約三年半、過去一年成長最快的台灣新創。很多學生、接案者、新創團隊，還有用 AI 寫程式的人，都把網站和系統放在上面——因為它真的很方便：連上 GitHub，按一下就上線。
兩個月內，它被入侵了兩次。官方說明，第二次事件後團隊重新評估營運，決定結束；創辦人也提到，AI 降低了部署門檻、平台成長遇到瓶頸，系統一路調整下來複雜度與維護難度都升高了。（數位時代）第二次，攻擊者讀走了約 321 萬筆環境變數、約 32 萬個帳號的資料，並用最高權限登入了 101 台客戶的伺服器。創辦人林沅霖在公告裡寫：「保護你們的服務與資料是我們的責任，而我們沒有做到。」（Zeabur 事件報告、數位時代、israynotarray）
我是熊董，台灣川輝科技。這篇是深度解析：每一段先用白話講，技術細節放在「給工程師」的小段落。所有數字都來自 Zeabur 官方事件報告或新聞，文內附上來源。
先講結論：依 Zeabur 官方自己的報告——一把兩年沒換、沒有期限的管理員鑰匙，用明文存著；管理介面直接開在網路上；第一次被入侵後，沒把這把鑰匙換掉。第二次攻擊者就用它長驅直入，前後 16 小時沒有觸發任何警報。對還在 Zeabur 上的人，現在最重要的是兩件事：把所有密碼和金鑰全部換掉，以及在 12 月 31 日前搬家。對所有老闆來說，這件事的教訓是：方便的平台，代價是你看不到它怎麼保管你的鑰匙；而平台本身，也可能會倒。
一、30 秒看懂：用一棟公寓大樓來比喻
想像 Zeabur 是一棟很方便的公寓大樓：
- 你（客戶）租一間房間放你的網站，不用自己蓋房子、不用自己管水電。
- 你家的鑰匙（資料庫密碼、金流金鑰、AI 服務金鑰）有一份寄放在大樓管理室，方便管理員幫你處理事情。這些就是「環境變數」。
- 管理員手上有一把萬能鑰匙，可以開所有房間、所有管理室的抽屜。
第一次（8 月）：有一位住戶自己裝的門鎖有瑕疵，小偷從那裡進到大樓走廊。走廊的信箱裡，居然放著一把管理員的舊鑰匙；用它打開管理室，抽屜裡又有整棟樓的萬能鑰匙。
第二次（10 月）：出事之後，大樓換了一些鎖，但那把萬能鑰匙的備份，從 2024 年就沒換過、沒有到期日，而且寫在一張紙上放在設定資料夾裡。小偷第二次來，直接拿著它開門，把管理室裡 321 萬把寄放的鑰匙全看了一遍，還進了 101 戶人家。
而這一切，持續了十幾個小時，大樓的警報沒有響。
二、Zeabur 是什麼？為什麼這麼多人用？
Zeabur 是 2023 年成立的台灣新創，提供「應用程式部署」：你把程式放在 GitHub，Zeabur 幫你處理主機、資料庫、HTTPS 憑證這些麻煩事，按一下就上線。（數位時代、BleepingComputer）
它在台灣開發者圈很受歡迎：
- 中文介面、中文文件，對亞洲、中文使用者特別友善。
- 國外的 Heroku 取消免費方案之後，很多學生轉來這裡部署作品。
- 接案者、新創用它快速上線 MVP。
- 它的 n8n 範本（一個流程自動化工具），讓不會寫程式的人也能架自動化服務。
- 近一年，AI 帶來大量部署需求：用 AI 寫完程式的人，需要一個地方把它放上網。
國外媒體 Cybernews 直接把它稱為「vibe coding 平台」。（Cybernews）
三、第一次（8 月 27 日）：小偷怎麼進來的？
白話版
- 有一位用戶在 Zeabur 上架了一個開源的 AI 聊天介面（NextChat），這個軟體本身有漏洞。
- 攻擊者從這個漏洞進到 Zeabur 的「共享區」。
- 共享區裡有一個快取，放著舊版的 API 金鑰，其中一把是管理員的。
- 用這把金鑰，可以讀到 Zeabur 內部服務的設定，裡面放著 Amazon 雲端的最高權限金鑰。
- 拿到最高權限之後，再一路連到正式的資料庫，讀走帳號資料和專案的環境變數。
每一步，都是一扇「本來應該關著」的門。
給工程師
- 入口：使用者部署在共享叢集上的 NextChat v2.16.1，利用其 MCP 授權檢查漏洞 CVE-2026-7644 取得容器執行權。
- 橫向移動：共享叢集內網 → 存有 Legacy API Key 的路由快取 → 團隊管理員的 Legacy API Key（無 scope 限制）→ 內部管理服務的環境變數 → AWS root key → 具私網路徑與資料庫憑證的叢集維運排程 → 正式資料庫。
- 時間（UTC）：8/27 02:34 第一個異常 API 請求，07:54 第一筆確認的資料庫入侵紀錄，11:52 開始大量讀取環境變數；8/28 02:34 第一個金鑰遭濫用的回報。
事後 Zeabur 停用了舊版 API 金鑰、換掉一批內部金鑰，並宣布新服務的環境變數改存在客戶自己的伺服器上。但官方後來也承認：當時說的「所有內部管理金鑰都已停用或輪替」，並不完整。
四、第二次（10 月 14～15 日）：為什麼又被打進來？
白話版
因為第一次之後，最重要的那把萬能鑰匙沒換。
Zeabur 的官方報告寫得非常坦白：
- 共享叢集的管理員鑰匙，2024 年 1 月建立，沒有到期日，從來沒換過。
- 2026 年 1 月，這把鑰匙被用明文寫進一個設定檔資料庫。
- 8 月事件後換金鑰時，沒有把它算進去。
- 管理介面直接開在網路上，任何地方都連得到。
攻擊者第二次就是拿著這把鑰匙進來的。官方推測，攻擊者可能是在 8 月事件時拿到了讀取那份設定檔的能力，但這點還沒有證實。
時間線（UTC）
| 時間 | 發生什麼事 |
|---|---|
| 2024/1/10 | 共享叢集管理員鑰匙建立，沒有到期日 |
| 2026/1/20 | 這把鑰匙被明文寫進設定檔資料庫 |
| 8/27 | 第一次事件 |
| 9/1～9/5 | 來源不明者用 root 密碼登入約 98 台 GCP 專用伺服器 |
| 9/3 | 發現 GCP 伺服器初始化設定裡存著 root 密碼，事件前沒修 |
| 10/14 01:40 | 攻擊者第一次用管理員鑰匙進入共享叢集 |
| 10/14 12:39 | 讀取共享叢集上所有服務的設定與密鑰 |
| 10/14 13:40 | 開始進到資料庫容器裡讀資料、用 root 登入 GCP 伺服器 |
| 10/15 13:56 | 因為用戶回報，才開始調查 |
| 10/15 15:30 | 攻擊者在內部網路加了一台自己的節點 |
| 10/15 16:10 | 讀取平台資料庫 |
| 10/15 20:25 | 全部用戶強制登出；20:36 封鎖對外 SSH |
| 10/15 21:05 | 最後一次觀察到攻擊者活動 |
| 10/17 | 宣布結束營運 |
最關鍵的一句在官方報告裡：10 月 14 日超過 16 小時的攻擊活動，沒有觸發任何警報。最後是用戶自己發現不對勁回報，才開始調查。（Zeabur 事件報告）
五、到底被拿走什麼？有多嚴重？
依 Zeabur 官方報告：
| 項目 | 數量 |
|---|---|
| 環境變數紀錄（名稱和內容） | 3,218,965 筆 |
| 帳號資料（Email、使用者名稱、電話等） | 321,810 個 |
| 被下指令的資料庫服務 | 865 個（其中 736 個是 n8n） |
| 被用 root 登入的 GCP 專用伺服器 | 101 台（92 位用戶） |
| 被加入攻擊者 SSH 金鑰的伺服器 | 50 台 |
| 被複製的客戶硬碟 | 16 份（掛到攻擊者建立的 5 台虛擬機上） |
| 明文保存、已撤銷的寄信金鑰 | 566 組 |
| 已撤銷的平台存取權杖 | 11,536 組 |
幾個特別值得注意的地方：
- n8n 用戶受災特別重。 736 個 n8n 資料庫被下指令；抽查的 607 個裡，有 602 個把「加密金鑰」直接放在環境變數裡。等於鎖和鑰匙放在同一個抽屜，n8n 裡存的 Google、Slack、CRM 等第三方帳號憑證都可能曝光。
- 攻擊者在找 AI 金鑰。 報告指出，攻擊者在資料庫裡搜尋 API 金鑰，主要是 AI 服務的金鑰，還試著呼叫 Amazon Bedrock（全部失敗）。官方推測有一位用戶的 OpenAI 金鑰被拿去產生了約 1,107 次圖片。
- 台北、香港兩區的資料庫備份，官方建議直接視為已外洩。
- 專用伺服器不是「自己的」就安全。 101 台被 root 登入的伺服器，官方建議直接當成已被入侵：備份資料、整台重建。
為什麼 AI 金鑰特別危險？因為偷到就能直接換成錢：拿去大量呼叫 AI，帳單算在你頭上。Threads 上不少受害者分享的第一個徵兆，就是 AI 服務帳單突然暴增。
六、為什麼會發生？官方自己列的原因
Zeabur 在報告裡列出的根本原因，用白話翻譯就是：
| 官方說的 | 白話 |
|---|---|
| 管理員權杖沒有到期日，2024 年 1 月建立後從未輪替 | 萬能鑰匙兩年沒換，而且永遠不會失效 |
| 管理介面可從公開網路連線 | 管理室的門直接開在大馬路邊 |
| 設定檔、程式碼、建置流程裡有明文金鑰 | 鑰匙寫在便條紙上，貼在好幾個地方 |
| GCP 初始化設定存著 root 密碼，9/3 發現但事件前沒修 | 知道有一扇門壞了，但還沒修就又被闖 |
| 叢集備份含所有密鑰，備份的金鑰跟其他密鑰放在一起 | 保險箱的備份鑰匙，跟保險箱放在一起 |
| 權限過大：一把只該讀一個儲存桶的金鑰，可以讀全部 | 一把房間鑰匙，可以開整棟樓 |
| 四個月前停用的服務，部署金鑰還有效 | 搬走的房客，鑰匙還能用 |
| 10/14 超過 16 小時的活動沒有告警 | 小偷在大樓裡待了一整天，警報沒響 |
工程師圈有一句話很適合形容這件事：金鑰外洩是起火點，權限範圍才決定災情有多大。 第一次被打進來不可怕，可怕的是每一扇門都沒有分開上鎖，一把鑰匙就能一路走到底。（下班後的工程師筆記）
另一個教訓是：準備退役、但還在跑的舊系統，往往最危險。 共享叢集已經宣布要汰換，卻沒人持續盯著，七週後同一條路又被走了一次。（israynotarray）
七、關站時程、退款與消費者權益
時程
| 日期 | 發生什麼事 |
|---|---|
| 10/17 | 宣布逐步結束營運；停止新購專用伺服器與網域；開始受理餘額退款 |
| 12/1 | 專用伺服器停止續費，依到期日在 12 月陸續關閉；共享叢集暫停所有服務（可手動恢復來備份） |
| 12/31 | 所有服務全面停止 |
資料刪除日、最晚匯出期限、客服停止日，都還沒公布。官方提醒：不要等期限公布才開始備份。（數位時代）
退款與賠償
- 帳戶餘額退款、資安事件損失賠償要分開申請，都透過 Zeabur Support 客服系統。
- 在 Zeabur 買的網域可以從控制台自助轉出。
- 台北市消保官表示：退費原則上應以原支付貨幣返還。Zeabur 登記在美國、在台灣沒有分公司，屬於跨境消費爭議；客服處理不了，可以向 eConsumer.gov 申訴，或找發卡銀行申請信用卡爭議款。（蕃新聞）
八、還在 Zeabur 上？照這份清單做
給老闆（不用懂技術）
- 先確認你有沒有東西在 Zeabur 上。 外包廠商、工程師幫你架的系統也算。直接問：「我們有沒有任何服務放在 Zeabur？」
- 有的話，叫負責的人這週就做兩件事：把所有密碼、金鑰換掉；排好搬家時程，12 月前搬完。
- 看帳單。 AI 服務（OpenAI、Claude、Gemini 等）、雲端、金流的帳單，從 10 月 14 日起有沒有異常；用 GCP 專用伺服器的，從 9 月 1 日起看。設定用量上限和告警。
- 申請退款和賠償，兩個分開申請，留好紀錄。
給工程師（依官方建議整理）
所有用戶
- 換掉環境變數裡所有憑證：API 金鑰、雲端金鑰、資料庫密碼、簽章與加密金鑰。先撤銷舊的，再建新的，再重新部署。 不要只換被通知的那幾個，也不要以為改變數名稱就沒事——攻擊者看值的格式就認得出來。
- 重新登入、建立新的存取權杖，檢查有沒有陌生的請求。
- GitHub：檢查 10/15 15:05～18:54（UTC）之間 Zeabur GitHub App 有沒有異常的 clone、push、新增 deploy key 或修改 webhook。
共享叢集用戶
- 資料庫裡的密碼要另外改——改 Zeabur 的環境變數，不會改到資料庫本身的密碼。
- n8n：換掉加密金鑰，重建所有第三方憑證。
- PostgreSQL：檢查有沒有陌生的角色、函式、觸發器、排程或擴充套件；有疑慮就開新資料庫、只匯入資料。
- 台北（tpe1）、香港（hkg1）的資料庫備份，視為已外洩。
GCP 專用伺服器用戶
- 視為已被入侵：備份資料，整台重建（最可靠）。
- 暫時無法重建：移除
/root/.ssh/authorized_keys裡陌生的金鑰（包括註解為@zeabur-pentest的）、檢查 sudo 群組、系統帳號、crontab、systemd 服務、k3s 工作負載；改 root 密碼、關閉 SSH 密碼登入；從 9 月 1 日起對照入侵指標檢查登入紀錄。
（以上整理自 Zeabur 事件報告）
搬家時：換金鑰和搬家要一起規劃。很多人換了金鑰才發現要重新部署，結果服務直接斷掉。先在新環境把服務架好、用新金鑰測通，再切過去、撤銷舊金鑰。
九、不只 Zeabur：同一週的台灣與全球
- Railway：另一個熱門的國外部署平台，10 月 21 日偵測到存放客戶環境變數的系統被入侵，全平台暫停部署。（The CyberSec Guru）
- 91APP：台灣電商平台，10 月 16 日發布重大訊息，Commerce Cloud 資料庫遭自動化攻擊、部分資訊被擷取，已報案並通知受影響客戶。（Peakstar）
- PHP2Shell：全球約七成網站使用的 PHP 爆出重大漏洞，日本首相深夜發文、歐洲政府搶著關站。我們另外寫了一篇深度解析：PHP2Shell 深度解析：PHP 漏洞到底有多嚴重？
有開發者分析，這陣子駭客特別盯上存放 AI 金鑰的平台，因為偷到的金鑰可以直接變現。（BigGo，該開發者個人推論）
十、給老闆的三個教訓
1. 方便的代價，是你看不到別人怎麼保管你的鑰匙
一鍵部署平台最大的好處是「不用管」，最大的風險也是「不用管」。你的鑰匙寄放在別人的管理室，你不知道管理員的萬能鑰匙多久換一次、有沒有寫在便條紙上。這不代表不能用這類平台，而是要有人知道你的鑰匙放在哪、出事時能多快全部換掉。
2. 平台會倒，你要有退場計畫
Zeabur 的關站不只是資安問題，也是一個提醒：任何平台都可能停止服務。 你的資料能不能完整匯出？網域在誰手上？搬家要多久？這些問題，平常就要有答案，不是出事才想。
3. 外包做的系統，你也要知道它放在哪
很多老闆其實不知道自家系統放在哪個平台。網站是三年前請人架的，AI 工具是員工自己串的，n8n 是實習生弄的。等到新聞出來，才發現「我們好像也有在用」。盤點一次：有哪些系統、放在哪、誰在管、鑰匙在誰手上。
十一、還沒有答案的部分
截至 10 月 23 日，有幾件事還沒有公布或還在調查，判斷時要保留空間：
- 資料刪除日、最晚匯出期限、客服停止日。
- 第二次入侵用的憑證，是不是在 8 月那次就被拿走（官方列為推測，尚未證實）。
- 資安損失賠償的認定方式與金額。
- 是否會延長資料搬遷的期限（官方表示可能，但沒有時程）。
Zeabur 的事件報告是初步版本，調查仍在進行，後續以官方更新為準。
川輝平常怎麼做？
我們做的是客製系統與系統維護。客戶的系統部署在哪個平台、用了哪些密碼和金鑰、誰能存取，是我們維護工作的一部分。像 Railway、Zeabur 這樣的平台發出資安通知時，我們會先盤點有沒有服務放在上面，有的話換掉所有密碼與金鑰、檢查有沒有異常用量，需要的話就搬到穩定的環境。
沒有任何平台、任何系統能保證百分之百不出事。我們能做的，是出事時有人第一時間知道、知道該先換哪一把鑰匙、知道怎麼搬家才不會讓服務斷掉。
需要搬家、換金鑰或檢查？可以找我們
不管系統是不是川輝做的，都可以找我們協助：
- 盤點：確認有哪些服務放在 Zeabur、Railway 這類出過事的平台上，金鑰放在哪裡。
- 搬家：在 12 月 31 日前把服務搬到穩定的環境，先架好、測通再切換，不讓營運中斷。
- 換金鑰與檢查：依官方建議換掉所有憑證、檢查帳單與入侵跡象。
不確定從哪裡開始，先預約 30 分鐘免費診斷。
常見問題
Zeabur 發生了什麼事？
Zeabur 是台灣的雲端部署平台，2026 年 8 月 27 日、10 月 14～15 日兩度被入侵。第二次攻擊者讀取了約 321 萬筆環境變數、約 32 萬個帳號資料，並以 root 權限登入 101 台客戶的 GCP 專用伺服器。Zeabur 於 10 月 17 日宣布結束營運，12 月 31 日全面關站。
為什麼第二次又被入侵？
依 Zeabur 官方報告，共享叢集的管理員權杖自 2024 年 1 月建立後沒有到期日、從未輪替，並以明文存放在設定檔中；8 月事件後換金鑰時沒有涵蓋它，管理介面又可從公開網路連線。攻擊者使用這組憑證進入，10 月 14 日超過 16 小時的活動沒有觸發告警。
Zeabur 什麼時候關站？
10 月 17 日起停止新購專用伺服器與網域；12 月 1 日起專用伺服器停止續費、依到期日陸續關閉，共享叢集暫停服務；12 月 31 日全面停止。資料刪除日與最晚匯出期限尚未公布，官方建議儘早備份與搬遷。
我有用 Zeabur，現在該做什麼？
第一，換掉所有存在環境變數裡的密碼與金鑰（先撤銷舊的、再建新的、再重新部署），資料庫內的密碼也要另外改；第二，檢查 AI 服務、雲端與金流帳單是否有異常；第三，在 12 月 31 日前備份並搬到其他環境；第四，透過 Zeabur Support 分別申請餘額退款與資安損失賠償。
退款要怎麼申請？
帳戶餘額退款與資安事件賠償需分開申請，均透過 Zeabur Support。台北市消保官表示退費原則上應以原支付貨幣返還；因 Zeabur 登記於美國，若客服未妥善處理，可透過 eConsumer.gov 申訴或向發卡銀行申請信用卡爭議款。
只改環境變數的名稱可以嗎？
不行。攻擊者可以從值的格式辨識出是哪一種金鑰，不需要看變數名稱。所有可能外洩的憑證都要撤銷並重新產生。
用一鍵部署平台還安全嗎？
平台本身不一定不安全，自己架主機也有自己要顧的事；但用平台時，你看不到它怎麼保管你的金鑰，而且平台也可能停止營運。重點是要有人知道你的系統放在哪、金鑰有哪些、出事時能多快全部換掉，以及資料能不能完整帶走。
資料來源
官方
- Zeabur 2026 年 10 月資安事件報告（初步）：https://zeabur.com/blogs/october-2026-security-incident
- Zeabur 2026 年 8 月資安事件報告：https://zeabur.com/blogs/august-2026-security-incident
新聞與分析
- 數位時代：Zeabur 兩度遭駭後宣布停運：https://www.bnext.com.tw/article/92697/zeabur-shutdown-after-second-security-breach
- 蕃新聞：消保官談退費原則：https://n.yam.com/Article/20261017250749
- iThome：Zeabur 公布調查結果：https://www.ithome.com.tw/news/179804
- Cybernews：https://cybernews.com/news/zeabur-cloud-provider-shutdown-two-breaches-3-million-records/
- BleepingComputer：https://www.bleepingcomputer.com/news/security/zeabur-shutting-down-after-second-security-breach-in-two-months/
- 下班後的工程師筆記：一把金鑰能走多遠：https://frankchen.tw/zeabur-incident-permission-blast-radius/
- israynotarray：一間台灣新創的成長之痛：https://israynotarray.com/en/misc/2026/10/18/zeabur-shutting-down-taiwanese-startup-growing-pains/
- Peakstar：91APP 與 Zeabur 資安事件：https://www.peakstargroup.com/2026/10/17/91app-zeabur-security-incidents-lessons/
- The CyberSec Guru：Railway 資安事件：https://thecybersecguru.com/news/railway-security-breach-environment-variables/
- BigGo：AI 金鑰黑市推論：https://finance.biggo.com/news/0bc6db77e5a58e8f
價格公開・免費估範圍
你現在這套系統，一年到底在付多少？
把維護合約或帳單攤開算一次：哪些是真成本、哪些可以砍、值不值得動。如果算完的結論是先不要動，我們就會直接跟你說先不要動。
月費 20,000・200 人以內不因人數加價・同功能調整免費 · 也可以直接預約 30 分鐘免費診斷
🐻
熊董｜Johnny Yang
川輝科技創辦人