你的部署平台就是你的单点故障：一个关门，一个被黑，vibe coder 连夜换密钥

vibe coding 最火的两个部署平台，同一周前后脚翻车。

Zeabur：直接关门。 两次被脱库——8 月底黑客经用户部署的 NextChat 应用攻入生产环境，10 月中旬二次沦陷（明文存的长期 admin 凭证，有的 token 从 2024 年就没过期）。泄露规模：32 万账户信息、321 万条环境变量记录（含明文密码、API key、数据库凭证）、566 个明文 zSend key、1.1 万个平台 token；92 名用户的 101 台 GCP 专属服务器被 root 登录。创始人 10 月 19/20 日在 X 宣布：12 月 1 日部分停服，12 月 31 日彻底关闭，余额退款+事故补偿。

Railway：全员换密钥。 10 月 21 日发现环境变量存储系统异常，“未授权第三方可能访问了加密环境变量，部分拿到了解密内容”（官方博客原话）。官方直接作废了全部 OAuth 会话、全部存储桶凭证、全部 API token（10-22 生效），构建暂停后按 Enterprise→Pro→Hobby→Free 的顺序分阶段恢复。CEO 承诺出 post-mortem，但受影响用户数和根因至今没公布；有安全研究员称攻击者盗走了存在 Railway 上的加密钱包私钥——这条 Railway 没确认，存疑。

为什么值得看： vibe coder 的工作流是“AI 写代码→一键部署”，部署平台手里攥着你所有的 env：数据库密码、第三方 API key、支付密钥。平台一翻车，你的项目和密钥一起陪葬。这两件事给所有人的教训就三条：第一，密钥轮换别偷懒，长期 token 必须设过期；第二，生产数据库别和 demo 共用一套凭证；第三，部署平台要有“跑路预案”——Dockerfile 和 IaC 脚本自己留一份，平台关门那天你才有地方去。

实话实说： Zeabur 部分为官方事故报告+Cybernews 交叉（多方印证）；Railway 根因未公布、钱包被盗为单方说法。两家都不是“小作坊”，安全这事跟平台大小没关系，跟基本功有关系。

（关键数字：Cybernews 10-22 全文；Railway 官方博客 10-21 + TechCrunch 10-22。）