台灣雲端部署平台 Zeabur 在 10 月中旬再度傳出重大資安事件，影響範圍比 8 月底的前一次事故更為嚴重。調查顯示，攻擊者在短短 37 分鐘內讀取超過 321 萬筆環境變數及 32 萬筆帳號資料，連 API 金鑰與平台存取權杖的雜湊值也遭到讀取。事件曝光後，創辦人林沅霖宣布平台將於今年底停止營運，並呼籲用戶儘早備份資料、安排服務遷移。
事件時間線： 10 月 14 日（UTC）凌晨 1 時 36 分起：攻擊者先後使用 Zeabur 內部 AWS 金鑰與共享叢集管理權杖，從外部存取 9 個區域的共享叢集。 10 月 14 日（UTC）下午 1 時 40 分起：攻擊者以 root 權限登入 101 台由 Zeabur 代管的 GCP 專用伺服器。 10 月 16 日凌晨（台灣時間）：Zeabur 在官方服務狀態頁接連發布 3 次通報，先確認舊共享叢集遭未經授權存取，約 4 小時 40 分鐘後再確認部分 GCP 專用伺服器也遭入侵，攻擊者並已取得平台資料庫的讀取權限。 10 月 17 日：創辦人林沅霖發布停止營運公告，說明 14 日發生的資安事件，並宣布平台將逐步結束營運。 10 月 19 日：Zeabur 公布初步調查報告，揭露兩條入侵路徑、影響範圍、事件原因及已採取的補救措施。
這起事件的影響範圍，是隨著 Zeabur 陸續更新調查結果才逐漸明朗。最初的通報僅確認舊共享叢集遭未經授權存取，數小時後才發現部分 GCP 專用伺服器也遭入侵，攻擊者甚至取得平台資料庫的讀取權限，顯示事態比第一時間掌握的更為嚴重。
Zeabur 是台灣的雲端部署平台，主要協助開發者快速將應用程式上線，免去自行管理伺服器的麻煩。過去一年平台成長迅速，也因此累積了大量用戶的服務設定與敏感憑證，這次事件正是從這些核心資產下手。
根據 19 日公布的初步調查報告，攻擊者循兩條路徑入侵平台。其中一條涉及共享叢集與 AWS：攻擊者自 10 月 14 日凌晨 1 時 36 分（UTC）起，先使用 Zeabur 內部的 AWS 金鑰，隨後動用共享叢集的管理權杖。由於當時共享叢集的管理介面對公網開放，且管理權杖沒有設定有效期限，攻擊者得以從外部存取 9 個區域的共享叢集，讀取服務設定、環境變數及其他敏感資訊。
在這條路徑中，攻擊者還在 865 個資料庫服務的容器內執行讀取指令，涉及 n8n、PostgreSQL 以及 new-api、one-api 等服務，不過並非所有指令都成功執行。Zeabur 研判，攻擊者也利用另一把權限過大的金鑰讀取舊叢集的備份，進一步取得存取機密管理服務的能力，最終讀取約 53 筆正式環境的機密資料，包括內部網路管理憑證、平台資料庫帳號以及 GitHub App 私鑰。
另一條入侵路徑涉及 GCP 專用伺服器。Zeabur 確認，攻擊者自 10 月 14 日下午 1 時 40 分（UTC）起，以 root 權限登入 101 台由 Zeabur 代管的 GCP 專用伺服器，涉及 92 名使用者。由於這些伺服器的初始化設定以明文保存 root 密碼，而攻擊者持有可讀取相關設定的舊 GCP 金鑰，Zeabur 研判攻擊者藉此取得了登入密碼。
得手之後，攻擊者還在其中 50 台伺服器加入自行控制的 SSH 金鑰，以維持後續的存取能力，並建立 5 台虛擬機器，掛載 16 份客戶伺服器的磁碟複本，顯示攻擊者有意長期潛伏並擴大戰果。
兩條入侵路徑最終相互串連。攻擊者利用第一條路徑取得的內網管理憑證，從遭入侵的 GCP 伺服器進入內部網路，再以唯讀帳號存取平台資料庫，在短短 37 分鐘內讀取超過 321 萬筆環境變數及 32 萬筆帳號資料，API 金鑰及平台存取權杖的雜湊值也遭到讀取。
環境變數通常用來存放應用程式運作所需的敏感設定，例如資料庫密碼、第三方服務的 API 金鑰等。一旦大量外洩，受影響的用戶除了要更換所有相關憑證，也必須假設攻擊者可能已掌握足以進一步入侵其服務的資訊，因此後續的憑證輪替與存取稽核格外重要。
對於這次事件的根本原因，Zeabur 指出，部分管理憑證長期有效且以明文保存，加上共享叢集的管理介面對外開放，讓攻擊者在取得憑證之後，就能透過網際網路從外部直接存取系統。此外，存取權限設定過大、異常存取未能及時察覺等問題，也讓事件的影響進一步擴大。
更值得注意的是，這次調查還揭露，8 月資安事件發生後，仍有部分內部憑證沒有完成輪替。而 GCP 專用伺服器初始化設定以明文保存 root 密碼的問題，早在 9 月 3 日就已經被發現，卻直到這次事件發生前都沒有完成修正。至於攻擊者最初是如何取得相關憑證，目前仍未釐清。
在安全監控方面，調查也發現，從攻擊者首次使用內部憑證，到團隊啟動調查，中間相隔約 36 小時，期間並未觸發任何安全警示，直到接獲使用者回報才展開調查，顯示異常偵測機制存在明顯缺口。
10 月 17 日，創辦人林沅霖發布停止營運公告，說明 14 日發生的資安事件，並表示已針對所有已知的攻擊路徑採取控制措施，但調查仍在進行中。更引人關注的是，他同時宣布 Zeabur 平台將逐步結束營運：部分服務將從 12 月 1 日起陸續停止，所有專用伺服器與共享叢集則將於 12 月 31 日前關閉。
為何決定停止營運？林沅霖表示，Zeabur 過去一年雖然快速成長，但隨著 AI 逐漸降低部署的技術門檻，成長也開始遇到瓶頸。另一方面，系統為因應市場需求持續調整架構，累積了越來越高的複雜度與維護難度。團隊在 8 月資安事件後就已反覆討論是否繼續營運，10 月再次遭到入侵後，重新評估繼續營運所需的投入以及能夠承擔的責任，最終決定停止營運。
值得注意的是，Zeabur 才在 2025 年 11 月宣布完成由 500 Global 領投的 200 萬美元種子輪融資，如今不到一年便宣布停止營運。至於投資方是否參與了停業的決策，公司並未在公告中進一步說明。
針對資安事件本身，Zeabur 表示已對所有已知的攻擊路徑採取控制措施，並在 19 日公布初步調查結果，說明目前掌握的攻擊路徑、影響範圍、事件原因及已採取的補救措施，調查工作仍在持續進行。
對仍在使用 Zeabur 的用戶而言，最直接的影響是服務遷移的時程壓力。平台提醒用戶儘早備份資料、安排服務遷移，因為部分服務 12 月 1 日起就會陸續停止，全部專用伺服器與共享叢集則在 12 月 31 日前關閉，逾期未遷移的服務將無法繼續運作。
另一方面，由於超過 321 萬筆環境變數與 32 萬筆帳號資料遭到讀取，曾將敏感憑證存放在 Zeabur 環境變數中的用戶，應儘速輪替所有相關的 API 金鑰、資料庫密碼與存取權杖，並檢查是否有異常存取紀錄，以降低憑證外洩帶來的後續風險。
一年之內兩度發生重大資安事件，對用戶信任的打擊不言而喻。尤其這次調查揭露前一次事件的善後工作並未落實，包括憑證未完成輪替、已知弱點未及時修補，都讓外界對平台的安全治理能力產生質疑，這恐怕也是團隊最終決定停止營運的原因之一。
接下來值得關注的，包括 Zeabur 是否會公布更完整的最終調查報告，以及攻擊者最初取得憑證的管道能否查明。此外，平台也尚未說明在 12 月 31 日全面關閉之前，是否會提供用戶更詳細的遷移指引與資料匯出工具。
從快速成長的新創雲端平台，到一年內兩度遭駭、宣布年底停止營運，Zeabur 的案例再次提醒：在追求功能迭代與成長速度的同時，基礎的憑證管理、權限控管與異常監控缺一不可，任何一環的鬆懈都可能在攻擊者面前放大成致命的破口。
