Zeabur 倒了怎麼辦？兩個月被駭兩次、321 萬筆金鑰外洩，台灣部署平台關站深度解析

10 月 17 日，台灣的雲端部署平台 Zeabur 宣布：逐步結束營運，12 月 31 日全面關站。

這是一家成立約三年半、過去一年成長最快的台灣新創。很多學生、接案者、新創團隊，還有用 AI 寫程式的人，都把網站和系統放在上面——因為它真的很方便：連上 GitHub，按一下就上線。

兩個月內，它被入侵了兩次。官方說明，第二次事件後團隊重新評估營運，決定結束；創辦人也提到，AI 降低了部署門檻、平台成長遇到瓶頸，系統一路調整下來複雜度與維護難度都升高了。（數位時代）第二次，攻擊者讀走了約 321 萬筆環境變數、約 32 萬個帳號的資料，並用最高權限登入了 101 台客戶的伺服器。創辦人林沅霖在公告裡寫：「保護你們的服務與資料是我們的責任，而我們沒有做到。」（Zeabur 事件報告、數位時代、israynotarray）

我是熊董，台灣川輝科技。這篇是深度解析：每一段先用白話講，技術細節放在「給工程師」的小段落。所有數字都來自 Zeabur 官方事件報告或新聞，文內附上來源。

先講結論：依 Zeabur 官方自己的報告——一把兩年沒換、沒有期限的管理員鑰匙，用明文存著；管理介面直接開在網路上；第一次被入侵後，沒把這把鑰匙換掉。第二次攻擊者就用它長驅直入，前後 16 小時沒有觸發任何警報。對還在 Zeabur 上的人，現在最重要的是兩件事：把所有密碼和金鑰全部換掉，以及在 12 月 31 日前搬家。對所有老闆來說，這件事的教訓是：方便的平台，代價是你看不到它怎麼保管你的鑰匙；而平台本身，也可能會倒。

---

一、30 秒看懂：用一棟公寓大樓來比喻

想像 Zeabur 是一棟很方便的公寓大樓：

• 你（客戶）租一間房間放你的網站，不用自己蓋房子、不用自己管水電。
• 你家的鑰匙（資料庫密碼、金流金鑰、AI 服務金鑰）有一份寄放在大樓管理室，方便管理員幫你處理事情。這些就是「環境變數」。
• 管理員手上有一把萬能鑰匙，可以開所有房間、所有管理室的抽屜。

第一次（8 月）：有一位住戶自己裝的門鎖有瑕疵，小偷從那裡進到大樓走廊。走廊的信箱裡，居然放著一把管理員的舊鑰匙；用它打開管理室，抽屜裡又有整棟樓的萬能鑰匙。

第二次（10 月）：出事之後，大樓換了一些鎖，但那把萬能鑰匙的備份，從 2024 年就沒換過、沒有到期日，而且寫在一張紙上放在設定資料夾裡。小偷第二次來，直接拿著它開門，把管理室裡 321 萬把寄放的鑰匙全看了一遍，還進了 101 戶人家。

而這一切，持續了十幾個小時，大樓的警報沒有響。

---

二、Zeabur 是什麼？為什麼這麼多人用？

Zeabur 是 2023 年成立的台灣新創，提供「應用程式部署」：你把程式放在 GitHub，Zeabur 幫你處理主機、資料庫、HTTPS 憑證這些麻煩事，按一下就上線。（數位時代、BleepingComputer）

它在台灣開發者圈很受歡迎：

• 中文介面、中文文件，對亞洲、中文使用者特別友善。
• 國外的 Heroku 取消免費方案之後，很多學生轉來這裡部署作品。
• 接案者、新創用它快速上線 MVP。
• 它的 n8n 範本（一個流程自動化工具），讓不會寫程式的人也能架自動化服務。
• 近一年，AI 帶來大量部署需求：用 AI 寫完程式的人，需要一個地方把它放上網。

（israynotarray、數位時代）

國外媒體 Cybernews 直接把它稱為「vibe coding 平台」。（Cybernews）

---

三、第一次（8 月 27 日）：小偷怎麼進來的？

白話版

1. 有一位用戶在 Zeabur 上架了一個開源的 AI 聊天介面（NextChat），這個軟體本身有漏洞。
2. 攻擊者從這個漏洞進到 Zeabur 的「共享區」。
3. 共享區裡有一個快取，放著舊版的 API 金鑰，其中一把是管理員的。
4. 用這把金鑰，可以讀到 Zeabur 內部服務的設定，裡面放著 Amazon 雲端的最高權限金鑰。
5. 拿到最高權限之後，再一路連到正式的資料庫，讀走帳號資料和專案的環境變數。

每一步，都是一扇「本來應該關著」的門。

給工程師

• 入口：使用者部署在共享叢集上的 NextChat v2.16.1，利用其 MCP 授權檢查漏洞 CVE-2026-7644 取得容器執行權。
• 橫向移動：共享叢集內網 → 存有 Legacy API Key 的路由快取 → 團隊管理員的 Legacy API Key（無 scope 限制）→ 內部管理服務的環境變數 → AWS root key → 具私網路徑與資料庫憑證的叢集維運排程 → 正式資料庫。
• 時間（UTC）：8/27 02:34 第一個異常 API 請求，07:54 第一筆確認的資料庫入侵紀錄，11:52 開始大量讀取環境變數；8/28 02:34 第一個金鑰遭濫用的回報。

（Zeabur 8 月事件報告、下班後的工程師筆記）

事後 Zeabur 停用了舊版 API 金鑰、換掉一批內部金鑰，並宣布新服務的環境變數改存在客戶自己的伺服器上。但官方後來也承認：當時說的「所有內部管理金鑰都已停用或輪替」，並不完整。

---

四、第二次（10 月 14～15 日）：為什麼又被打進來？

白話版

因為第一次之後，最重要的那把萬能鑰匙沒換。

Zeabur 的官方報告寫得非常坦白：

• 共享叢集的管理員鑰匙，2024 年 1 月建立，沒有到期日，從來沒換過。
• 2026 年 1 月，這把鑰匙被用明文寫進一個設定檔資料庫。
• 8 月事件後換金鑰時，沒有把它算進去。
• 管理介面直接開在網路上，任何地方都連得到。

攻擊者第二次就是拿著這把鑰匙進來的。官方推測，攻擊者可能是在 8 月事件時拿到了讀取那份設定檔的能力，但這點還沒有證實。

時間線（UTC）

時間	發生什麼事
2024/1/10	共享叢集管理員鑰匙建立，沒有到期日
2026/1/20	這把鑰匙被明文寫進設定檔資料庫
8/27	第一次事件
9/1～9/5	來源不明者用 root 密碼登入約 98 台 GCP 專用伺服器
9/3	發現 GCP 伺服器初始化設定裡存著 root 密碼，事件前沒修
10/14 01:40	攻擊者第一次用管理員鑰匙進入共享叢集
10/14 12:39	讀取共享叢集上所有服務的設定與密鑰
10/14 13:40	開始進到資料庫容器裡讀資料、用 root 登入 GCP 伺服器
10/15 13:56	因為用戶回報，才開始調查
10/15 15:30	攻擊者在內部網路加了一台自己的節點
10/15 16:10	讀取平台資料庫
10/15 20:25	全部用戶強制登出；20:36 封鎖對外 SSH
10/15 21:05	最後一次觀察到攻擊者活動
10/17	宣布結束營運

最關鍵的一句在官方報告裡：10 月 14 日超過 16 小時的攻擊活動，沒有觸發任何警報。最後是用戶自己發現不對勁回報，才開始調查。（Zeabur 事件報告）

---

五、到底被拿走什麼？有多嚴重？

依 Zeabur 官方報告：

項目	數量
環境變數紀錄（名稱和內容）	3,218,965 筆
帳號資料（Email、使用者名稱、電話等）	321,810 個
被下指令的資料庫服務	865 個（其中 736 個是 n8n）
被用 root 登入的 GCP 專用伺服器	101 台（92 位用戶）
被加入攻擊者 SSH 金鑰的伺服器	50 台
被複製的客戶硬碟	16 份（掛到攻擊者建立的 5 台虛擬機上）
明文保存、已撤銷的寄信金鑰	566 組
已撤銷的平台存取權杖	11,536 組

（Zeabur 事件報告、Cybernews）

幾個特別值得注意的地方：

• n8n 用戶受災特別重。 736 個 n8n 資料庫被下指令；抽查的 607 個裡，有 602 個把「加密金鑰」直接放在環境變數裡。等於鎖和鑰匙放在同一個抽屜，n8n 裡存的 Google、Slack、CRM 等第三方帳號憑證都可能曝光。
• 攻擊者在找 AI 金鑰。 報告指出，攻擊者在資料庫裡搜尋 API 金鑰，主要是 AI 服務的金鑰，還試著呼叫 Amazon Bedrock（全部失敗）。官方推測有一位用戶的 OpenAI 金鑰被拿去產生了約 1,107 次圖片。
• 台北、香港兩區的資料庫備份，官方建議直接視為已外洩。
• 專用伺服器不是「自己的」就安全。 101 台被 root 登入的伺服器，官方建議直接當成已被入侵：備份資料、整台重建。

為什麼 AI 金鑰特別危險？因為偷到就能直接換成錢：拿去大量呼叫 AI，帳單算在你頭上。Threads 上不少受害者分享的第一個徵兆，就是 AI 服務帳單突然暴增。

---

六、為什麼會發生？官方自己列的原因

Zeabur 在報告裡列出的根本原因，用白話翻譯就是：

官方說的	白話
管理員權杖沒有到期日，2024 年 1 月建立後從未輪替	萬能鑰匙兩年沒換，而且永遠不會失效
管理介面可從公開網路連線	管理室的門直接開在大馬路邊
設定檔、程式碼、建置流程裡有明文金鑰	鑰匙寫在便條紙上，貼在好幾個地方
GCP 初始化設定存著 root 密碼，9/3 發現但事件前沒修	知道有一扇門壞了，但還沒修就又被闖
叢集備份含所有密鑰，備份的金鑰跟其他密鑰放在一起	保險箱的備份鑰匙，跟保險箱放在一起
權限過大：一把只該讀一個儲存桶的金鑰，可以讀全部	一把房間鑰匙，可以開整棟樓
四個月前停用的服務，部署金鑰還有效	搬走的房客，鑰匙還能用
10/14 超過 16 小時的活動沒有告警	小偷在大樓裡待了一整天，警報沒響

工程師圈有一句話很適合形容這件事：金鑰外洩是起火點，權限範圍才決定災情有多大。 第一次被打進來不可怕，可怕的是每一扇門都沒有分開上鎖，一把鑰匙就能一路走到底。（下班後的工程師筆記）

另一個教訓是：準備退役、但還在跑的舊系統，往往最危險。 共享叢集已經宣布要汰換，卻沒人持續盯著，七週後同一條路又被走了一次。（israynotarray）

---

七、關站時程、退款與消費者權益

時程

日期	發生什麼事
10/17	宣布逐步結束營運；停止新購專用伺服器與網域；開始受理餘額退款
12/1	專用伺服器停止續費，依到期日在 12 月陸續關閉；共享叢集暫停所有服務（可手動恢復來備份）
12/31	所有服務全面停止

資料刪除日、最晚匯出期限、客服停止日，都還沒公布。官方提醒：不要等期限公布才開始備份。（數位時代）

退款與賠償

• 帳戶餘額退款、資安事件損失賠償要分開申請，都透過 Zeabur Support 客服系統。
• 在 Zeabur 買的網域可以從控制台自助轉出。
• 台北市消保官表示：退費原則上應以原支付貨幣返還。Zeabur 登記在美國、在台灣沒有分公司，屬於跨境消費爭議；客服處理不了，可以向 eConsumer.gov 申訴，或找發卡銀行申請信用卡爭議款。（蕃新聞）

---

八、還在 Zeabur 上？照這份清單做

給老闆（不用懂技術）

1. 先確認你有沒有東西在 Zeabur 上。 外包廠商、工程師幫你架的系統也算。直接問：「我們有沒有任何服務放在 Zeabur？」
2. 有的話，叫負責的人這週就做兩件事：把所有密碼、金鑰換掉；排好搬家時程，12 月前搬完。
3. 看帳單。 AI 服務（OpenAI、Claude、Gemini 等）、雲端、金流的帳單，從 10 月 14 日起有沒有異常；用 GCP 專用伺服器的，從 9 月 1 日起看。設定用量上限和告警。
4. 申請退款和賠償，兩個分開申請，留好紀錄。

給工程師（依官方建議整理）

所有用戶

• 換掉環境變數裡所有憑證：API 金鑰、雲端金鑰、資料庫密碼、簽章與加密金鑰。先撤銷舊的，再建新的，再重新部署。 不要只換被通知的那幾個，也不要以為改變數名稱就沒事——攻擊者看值的格式就認得出來。
• 重新登入、建立新的存取權杖，檢查有沒有陌生的請求。
• GitHub：檢查 10/15 15:05～18:54（UTC）之間 Zeabur GitHub App 有沒有異常的 clone、push、新增 deploy key 或修改 webhook。

共享叢集用戶

• 資料庫裡的密碼要另外改——改 Zeabur 的環境變數，不會改到資料庫本身的密碼。
• n8n：換掉加密金鑰，重建所有第三方憑證。
• PostgreSQL：檢查有沒有陌生的角色、函式、觸發器、排程或擴充套件；有疑慮就開新資料庫、只匯入資料。
• 台北（tpe1）、香港（hkg1）的資料庫備份，視為已外洩。

GCP 專用伺服器用戶

• 視為已被入侵：備份資料，整台重建（最可靠）。
• 暫時無法重建：移除 /root/.ssh/authorized_keys 裡陌生的金鑰（包括註解為 @zeabur-pentest 的）、檢查 sudo 群組、系統帳號、crontab、systemd 服務、k3s 工作負載；改 root 密碼、關閉 SSH 密碼登入；從 9 月 1 日起對照入侵指標檢查登入紀錄。

（以上整理自 Zeabur 事件報告）

搬家時：換金鑰和搬家要一起規劃。很多人換了金鑰才發現要重新部署，結果服務直接斷掉。先在新環境把服務架好、用新金鑰測通，再切過去、撤銷舊金鑰。

---

九、不只 Zeabur：同一週的台灣與全球

• Railway：另一個熱門的國外部署平台，10 月 21 日偵測到存放客戶環境變數的系統被入侵，全平台暫停部署。（The CyberSec Guru）
• 91APP：台灣電商平台，10 月 16 日發布重大訊息，Commerce Cloud 資料庫遭自動化攻擊、部分資訊被擷取，已報案並通知受影響客戶。（Peakstar）
• PHP2Shell：全球約七成網站使用的 PHP 爆出重大漏洞，日本首相深夜發文、歐洲政府搶著關站。我們另外寫了一篇深度解析：PHP2Shell 深度解析：PHP 漏洞到底有多嚴重？

有開發者分析，這陣子駭客特別盯上存放 AI 金鑰的平台，因為偷到的金鑰可以直接變現。（BigGo，該開發者個人推論）

---

十、給老闆的三個教訓

1. 方便的代價，是你看不到別人怎麼保管你的鑰匙

一鍵部署平台最大的好處是「不用管」，最大的風險也是「不用管」。你的鑰匙寄放在別人的管理室，你不知道管理員的萬能鑰匙多久換一次、有沒有寫在便條紙上。這不代表不能用這類平台，而是要有人知道你的鑰匙放在哪、出事時能多快全部換掉。

2. 平台會倒，你要有退場計畫

Zeabur 的關站不只是資安問題，也是一個提醒：任何平台都可能停止服務。 你的資料能不能完整匯出？網域在誰手上？搬家要多久？這些問題，平常就要有答案，不是出事才想。

3. 外包做的系統，你也要知道它放在哪

很多老闆其實不知道自家系統放在哪個平台。網站是三年前請人架的，AI 工具是員工自己串的，n8n 是實習生弄的。等到新聞出來，才發現「我們好像也有在用」。盤點一次：有哪些系統、放在哪、誰在管、鑰匙在誰手上。

---

十一、還沒有答案的部分

截至 10 月 23 日，有幾件事還沒有公布或還在調查，判斷時要保留空間：

• 資料刪除日、最晚匯出期限、客服停止日。
• 第二次入侵用的憑證，是不是在 8 月那次就被拿走（官方列為推測，尚未證實）。
• 資安損失賠償的認定方式與金額。
• 是否會延長資料搬遷的期限（官方表示可能，但沒有時程）。

Zeabur 的事件報告是初步版本，調查仍在進行，後續以官方更新為準。

---

川輝平常怎麼做？

我們做的是客製系統與系統維護。客戶的系統部署在哪個平台、用了哪些密碼和金鑰、誰能存取，是我們維護工作的一部分。像 Railway、Zeabur 這樣的平台發出資安通知時，我們會先盤點有沒有服務放在上面，有的話換掉所有密碼與金鑰、檢查有沒有異常用量，需要的話就搬到穩定的環境。

沒有任何平台、任何系統能保證百分之百不出事。我們能做的，是出事時有人第一時間知道、知道該先換哪一把鑰匙、知道怎麼搬家才不會讓服務斷掉。

需要搬家、換金鑰或檢查？可以找我們

不管系統是不是川輝做的，都可以找我們協助：

• 盤點：確認有哪些服務放在 Zeabur、Railway 這類出過事的平台上，金鑰放在哪裡。
• 搬家：在 12 月 31 日前把服務搬到穩定的環境，先架好、測通再切換，不讓營運中斷。
• 換金鑰與檢查：依官方建議換掉所有憑證、檢查帳單與入侵跡象。

不確定從哪裡開始，先預約 30 分鐘免費診斷。

---

常見問題

Zeabur 發生了什麼事？

Zeabur 是台灣的雲端部署平台，2026 年 8 月 27 日、10 月 14～15 日兩度被入侵。第二次攻擊者讀取了約 321 萬筆環境變數、約 32 萬個帳號資料，並以 root 權限登入 101 台客戶的 GCP 專用伺服器。Zeabur 於 10 月 17 日宣布結束營運，12 月 31 日全面關站。

為什麼第二次又被入侵？

依 Zeabur 官方報告，共享叢集的管理員權杖自 2024 年 1 月建立後沒有到期日、從未輪替，並以明文存放在設定檔中；8 月事件後換金鑰時沒有涵蓋它，管理介面又可從公開網路連線。攻擊者使用這組憑證進入，10 月 14 日超過 16 小時的活動沒有觸發告警。

Zeabur 什麼時候關站？

10 月 17 日起停止新購專用伺服器與網域；12 月 1 日起專用伺服器停止續費、依到期日陸續關閉，共享叢集暫停服務；12 月 31 日全面停止。資料刪除日與最晚匯出期限尚未公布，官方建議儘早備份與搬遷。

我有用 Zeabur，現在該做什麼？

第一，換掉所有存在環境變數裡的密碼與金鑰（先撤銷舊的、再建新的、再重新部署），資料庫內的密碼也要另外改；第二，檢查 AI 服務、雲端與金流帳單是否有異常；第三，在 12 月 31 日前備份並搬到其他環境；第四，透過 Zeabur Support 分別申請餘額退款與資安損失賠償。

退款要怎麼申請？

帳戶餘額退款與資安事件賠償需分開申請，均透過 Zeabur Support。台北市消保官表示退費原則上應以原支付貨幣返還；因 Zeabur 登記於美國，若客服未妥善處理，可透過 eConsumer.gov 申訴或向發卡銀行申請信用卡爭議款。

只改環境變數的名稱可以嗎？

不行。攻擊者可以從值的格式辨識出是哪一種金鑰，不需要看變數名稱。所有可能外洩的憑證都要撤銷並重新產生。

用一鍵部署平台還安全嗎？

平台本身不一定不安全，自己架主機也有自己要顧的事；但用平台時，你看不到它怎麼保管你的金鑰，而且平台也可能停止營運。重點是要有人知道你的系統放在哪、金鑰有哪些、出事時能多快全部換掉，以及資料能不能完整帶走。

---

資料來源

官方

• Zeabur 2026 年 10 月資安事件報告（初步）：https://zeabur.com/blogs/october-2026-security-incident
• Zeabur 2026 年 8 月資安事件報告：https://zeabur.com/blogs/august-2026-security-incident

新聞與分析

• 數位時代：Zeabur 兩度遭駭後宣布停運：https://www.bnext.com.tw/article/92697/zeabur-shutdown-after-second-security-breach
• 蕃新聞：消保官談退費原則：https://n.yam.com/Article/20261017250749
• iThome：Zeabur 公布調查結果：https://www.ithome.com.tw/news/179804
• Cybernews：https://cybernews.com/news/zeabur-cloud-provider-shutdown-two-breaches-3-million-records/
• BleepingComputer：https://www.bleepingcomputer.com/news/security/zeabur-shutting-down-after-second-security-breach-in-two-months/
• 下班後的工程師筆記：一把金鑰能走多遠：https://frankchen.tw/zeabur-incident-permission-blast-radius/
• israynotarray：一間台灣新創的成長之痛：https://israynotarray.com/en/misc/2026/10/18/zeabur-shutting-down-taiwanese-startup-growing-pains/
• Peakstar：91APP 與 Zeabur 資安事件：https://www.peakstargroup.com/2026/10/17/91app-zeabur-security-incidents-lessons/
• The CyberSec Guru：Railway 資安事件：https://thecybersecguru.com/news/railway-security-breach-environment-variables/
• BigGo：AI 金鑰黑市推論：https://finance.biggo.com/news/0bc6db77e5a58e8f