Onat Yiğit Mercan

Last night, I became aware of the concerns raised in Josh's post. I reached out publicly and over DM to offer a potential explanation based on the limited information available at the time, while working to understand what happened. As background, we’ve internally been pushing 100% on security of the Railway platform. At Railway, we believe that cyber threats are real and mounting, and we’ve built out tooling for automatic scanning + CVE remediation (for both our infrastructure and customers). Over the last few weeks, oncall engineers were instructed to red team our infrastructure. We maintain specific policies and short lived grants for when these actions occur. Subsequently, I became aware that an employee at Railway had constructed, on their own time, a tool for proactive identification + reporting of bug bounties within the broader community. The employee, using their own personal accounts, personal credit card, and time outside of work hours, signed up for a personal subscription to a hosted service running Deepseek. I can confirm they ran this tool once and only once, on a singular external provider, and halted it proactively within 15 minutes of starting. Railway does not condone these actions. We expect all our employees to uphold our standards of conduct, whether acting on behalf of Railway or in a personal capacity. We create an environment where internal red teaming has strict guidelines, and when bug bounty disclosures must occur, we follow every letter of responsible disclosure. We have addressed this incident with the employee directly and have taken appropriate action. We are also reinforcing our expectations for employee conduct to help prevent similar situations.

The oligarchy distro is featuring code contributions from billionaires left and right. Love it 🤩 oligarchy.fyi

Birkaç ay önce Palantir konuşurken ekrana doğru salladığım ve viral olan kamerayı hatırladınız mı? Hah, işte bu akşam onu ağa bağlayıp YZ'ye ağdaki kamerayı bulup girmesini söyledim. Default şifre ile çat diye girdi. Kamera üreticisi olsam veya içine kod atsam, bunu internetten de yapabilirdim. (Onu da yarın yaparım artık) Neyse sonra kameranın bilgisayarını kullanarak ağı taramasını istedim, evdeki SSH,ı açık cihazları bulmakla kalmadı bir de HTTP leri listeledi. Bari onlara da bağlanıp ilk sayfalarını oku dedim, onu da yaptı. Yani kamera, kameralık görevini yerine getirirken bir yandan da zombi bilgisayar olarak ister internette ister ağda geziyor, verilen görevleri yapıyor. Kameradan router'a atlasam zaten bütün ağı dışarı açtım gitti. Sunucum zaten ağ adreslerine açık, ikinci router zaten default şifre, aa 2 tane de uzaktan kumandalı piriz varmış ağda!! Onların üreticisi ne açık kapı bıraktı acaba? Daha Samsung televizyona, Xbox konsoluna gelmedik, ki konsolun otomatik uyanma özelliği bile var. Herkes sen mi? Diyenler için 500.000 kadar kamera ve routerın tek bir hacker grubunun kontrolünde olduğunu , geri kalanının kim bilir ne durumda olduğunu fark ettiğimiz Maira ve Aisuru saldırıları ile ilgili hap bilgiyi 4. resme bırakıyorum. Bu işler maalesef böyle, her yerimiz elek gibi, para verip aldığımız cihazları ağa bağlarken tamamen üreticinin insafına kalıyoruz.

Fedora çalışan tablet, hoş geldin.