即日起停售專用伺服器、12/1 起陸續停機，12/31 全面關閉；兩次資安事件之後收攤，官方早就承認價格永遠拚不過底層雲。
台灣雲端部署平台 Zeabur 創辦人林沅霖 2026-10-17 寄出停運通知信，宣布逐步結束營運：12/1 起停用專用伺服器續費、共享叢集暫停所有服務；12/31 全面關閉。信中點出兩個原因：AI 工具讓部署門檻降低、成長撞牆，加上 8 月與 10 月兩次資安事件讓團隊重估責任歸屬。這篇用白話拆解收攤時程與使用者現在該做什麼、兩次事件各自怎麼發生、官方自己承認的取捨，以及搬家時各家替代平台在「方便」與「自己扛資安」之間的比較。
創辦人林沅霖在信中把時程分成三段：即日起停止新購專用伺服器與網域、受理帳戶餘額退款；12/1 起專用伺服器依到期日在 12/1 至 12/31 之間陸續關閉、共享叢集暫停所有運行中的服務，使用者仍可手動恢復服務運行，以便備份資料；12/31 全部關閉。網域可自助轉出，但最晚匯出期限、資料刪除日期、客服停止受理日期，信中尚未公布，這也意味著有疑問要早點提。
對仍在線上跑的服務來說，關閉會逐台到期：12/1 之後，每一台專用伺服器到了合約到期日就關，各台時間不同，最晚 12/31 全部關完。使用者在 12/1 之前要先把所有正式服務遷出去。共享叢集則在 12/1 那天就會暫停所有運行中專案，使用者仍可手動恢復服務運行，以便備份資料。
這裡要分清楚兩種不同的金錢。官方公告把「餘額退款」與「資安損失賠償」拆成兩項不同的申請，都由客服窗口受理：資安事件損失賠償須另案申請；Zeabur 表示，8 月與 10 月事件的受損客戶均可透過客服提出申請。媒體報導指出截至 8 月 30 日，8 月事件的賠償案約 63% 已核實、21% 仍在核實中，Zeabur 當時規劃最遲於 9 月 30 日完成已核實案件的付款安排，特殊案件可能延後；兩種申請都由 Zeabur Support 受理，送件時應註明申請項目並提供相關資料；截止條件尚待公告，使用者要看清楚自己符合哪一邊，分開送件。
動作上不論有沒有收到通知信，先做這幾件：撤銷並更換所有曾存放在 Zeabur 環境變數且目前仍有效的金鑰與密碼（包括通知中未列出的憑證）、檢查近三個月的雲端帳單有無異常用量、把服務盡早搬走。Yahoo 新聞整理多名受害者的經驗，有人 AI 帳單暴增近 10 倍。
8 月那次，官方報告寫得很細：2026-08-27 02:34 UTC 出現目前確認最早的異常 API 請求；當時監控未偵測出入侵，團隊直到 8 月 28 日 02:34 UTC 收到外部回報才確認事件。2026-08-28 08:53 UTC 對使用者的第一封通知才發出，中間隔了 30 個小時。攻擊從一位使用者部署在共享叢集的 NextChat v2.16.1 服務開始：該版本含一個被追蹤為 CVE-2026-7644 的漏洞，攻擊者先取得容器內的程式執行權，再從內部網段找到路由快取裡一把 Zeabur Legacy API Key，批次嘗試後取得一把團隊管理員等級的金鑰；接著讀取內部管理服務的環境變數，找出一把長期留存的 AWS root 金鑰，取得 AWS root 權限後進入東京共享叢集，並授予其中一個服務帳號叢集管理員權限，最後透過定期清理工作的私網路徑讀取到正式資料庫。這條鏈跨越四道系統邊界：應用程式、共享叢集內網、平台與雲端帳號，以及共享叢集與核心正式環境。
外洩範圍，涵蓋 OpenAI、Anthropic、AWS、GitHub、Stripe、JWT_SECRET 等第三方服務金鑰與資料庫密碼。官方自己的報告承認一個關鍵事實：「共享叢集與 Legacy API Key 雖已進入退場階段，我們仍應確保它們在停止運作前具備足夠的隔離與存取限制。」——也就是說，這兩個機制本來就排定要關，但因為沒有足夠的隔離，被拿來當跳板。換句話說，攻擊的突破口在權限切割：退場中的舊系統一直沒有跟正式環境隔開。
第二次事件在 10 月 14 日 UTC，官方狀態頁在 10 月 15 日 16:08 UTC 建立初報，之後於 20:48 與 23:33 UTC 更新兩次。初報寫「no evidence that services deployed on dedicated servers have been affected」；四個多小時後的 20:48 UTC 更新改口「the incident is broader than first reported」，指出部分 Google Cloud 上的專用伺服器被未授權存取、攻擊者可讀取平台資料庫，也列出帳號資訊、API token 與 zSend API key 外洩，並因工作階段簽章金鑰輪替要求所有使用者重新登入；23:33 UTC 更新則說明暫時的功能異常及復原進度。媒體轉述的使用者通知信一開始還說「影響範圍僅限於共享叢集、未在專用伺服器發現異常」，與狀態頁更正後的內容直接矛盾，只看最初那封通知信的使用者，會誤以為專用伺服器沒事。
時間點各家寫法不一致，這裡要對齊一下。電腦王阿達與動區 BlockTempo 提到通知信寫攻擊窗為 10/14 晚 9 點至 10/15 凌晨 1 點（時區原文不明），TokenPost 則寫 9 AM–1 PM ET（美東時間 10/14，等於 UTC 13:00–17:00）。媒體引述的通知信沒標時區，若採台灣時間，就跟 TokenPost 的美東時間是同一段，兩組說法可能只是時區寫法不同；官方最終調查報告還沒公布，原信時區仍待確認。
| 項目 | 數值 |
|---|---|
| 第 1 份到第 2 份（16:08 → 20:48） | 4 小時 40 分 |
| 第 2 份到第 3 份（20:48 → 23:33） | 2 小時 45 分 |
| 第 1 份到第 3 份（總） | 7 小時 25 分 |
把兩次事件放在一起看，攻擊入口的「新舊落差」是關鍵。第一次攻擊最初利用共享叢集上 NextChat 服務的漏洞，之後取得 Legacy API Key；Zeabur 在 2 月 23 日公告共享叢集將停止新增專案。第二次事件先在共享叢集發現未授權存取，後續又確認部分 Google Cloud 專用伺服器遭存取；最初入口仍待調查。官方已確認八月事件中退場中的共享叢集與 Legacy API Key 隔離不足；十月事件的根因尚未公布，也還待完整調查報告。
時間拉回到更早，2026-02-23 的共享叢集退場公告官方就把話講得很白：「when you provide infrastructure on top of someone else's infrastructure, you can never be price-competitive」——當你在別人的基礎設施上再疊一層，永遠拚不過底層的成本。同篇公告也提到，當時共享叢集的用量計費價格低於成本，由公司補貼使用者。Zeabur 在二月決定停止於共享叢集新增專案與服務，並承諾既有服務繼續運行；全面停用則到十月才宣布。Zeabur 當時將定位改為「Your AI DevOps Engineer」，自述為使用者與基礎設施間的抽象層。這段話已經在 2 月就明確指出 Zeabur 自己知道「價格拉不動、底層雲要砍價就砍不過」這件事。
公開信把這條思路延伸下去：AI 正快速降低應用部署門檻，過去是工程師才會卡住的那一關，現在新手也能點幾下就上線；Zeabur 因此必須重新思考能提供的長期價值。官方公告表示，Zeabur 的成長開始遇到瓶頸。公開信說，團隊在八月事件後討論了很長一段時間，十月事件後重新評估繼續營運所需投入與責任；決定在還能收尾時收掉，比撐到出事好。換句話說，收攤的原因有好幾個，兩次資安事件是把「繼續投入 vs 體面收掉」的天平壓下去的最後幾克。
9 月 22 日 AI Hub 關閉公告已經先演練過一次退場：AI Hub 永久停止，未用額度先退成 Credit，要現金得另開工單。10 月這次收掉整個平台，停運信只說帳戶餘額退款由 Zeabur Support 受理，沒有公布同樣的 Credit 流程。換句話說，Zeabur 對「收攤」這件事並不陌生，公司內部已經把類似流程跑過一輪。
Zeabur 走了，接下來要把服務搬去哪？一位台灣開發者部落格文章比較了 Vercel、Railway、Render 與 Cloudflare 四家，最後搬到 Cloudflare，並附上請 AI 用 cf CLI 部署的流程。對照這篇文章與各家官方文件，差異主要落在「要不要看得到機器的網路層」、「能不能直接控制底層虛擬機」、「跟 Git push 之間多近」這三件事上。
選邊時一個簡單的判斷：第一，你原本是 Vibe Coding / 一鍵部署的新手，希望最少改動就搬，選 Railway 與 Render；第二，你的服務需要挑機房、貼使用者所在地以降低延遲，Fly.io；第三，前端 Next.js 站台、希望免管伺服器，Vercel；第四，願意接受命令列工具、設定檔與概念門檻，但希望資安模型最透明，Cloudflare。同一篇文章也提醒，Cloudflare 也有替開發者省事的設計，只是它的「方便」放在 Worker 與 Pages 這套概念上，用法跟租一台伺服器不同。
| 項目 | Railway | Render | Fly.io | Vercel | Cloudflare |
|---|---|---|---|---|---|
| 適合對象 | 想用 Git push 就上線的後端原型 | 全端託管網頁服務、簡單資料庫 | 全球低延遲容器、對網路層有要求 | 前端 Next.js、無伺服器函式 | 願意用 wrangler / cf CLI 自己部署的開發者 |
| 看到的層級 | 抽象到服務等級，看不到網卡 | 服務等級，自動管憑證 | 可指定城市的虛擬機器 | 邊緣函式，看不到機器 | Workers、Pages、KV、R2，自己組合 |
| 資安負擔落點 | Railway 管理部署基礎設施；使用者仍需管理應用設定、環境變數與金鑰 | 託管服務提供 HTTPS；付費 Postgres 提供備份與復原功能，免費資料庫不提供自動備份 | 需自行設定應用網路與組織權限；平台預設提供私有網路及部分託管網路功能 | 邊緣自動更新、自己控管環境變數 | 金鑰與帳號權限分得很細，若應用需要身分驗證，可自行實作或評估使用 Cloudflare Access |
| 主要取捨 | 最像 Zeabur 的直觀體驗，但底層同時使用自營 Railway Metal 與其他雲端資源，價格取決於方案與實際用量 | 文件好讀，付費資料庫有備份與復原，但佈建在三大雲之一 | 要懂一些網路概念才能駕馭 | 前端與無伺服器最快，長行程背景工作受限 | 要熟悉它的開發者工具鏈 |
這張表要表達的是同一件事：Zeabur 的方便，等於「別人替你在底層雲前面擋了一道」。把它換掉時，方便程度一定會掉一點，掉多少看哪家。完全照 Zeabur 體驗找的，最近的是 Railway 與 Render；願意自己動手，Cloudflare 與 Fly.io 給的控制權最多；只跑前端 Next.js，Vercel 最省事。要特別提醒的是，這些替代平台裡，Render 建在 AWS 與 Google Cloud 等公有雲之上；Railway 同時使用自營 Railway Metal 與公有雲資源；如果你在意的是「不想再被同一層中間人卡住」，可以逐一比較各平台的自營機房、公有雲依賴與使用者控制權。
八月底 Zeabur 第一次出事。創辦人 8 月 30 日的說明寫到，攻擊者取得了外洩的 AWS 管理金鑰，進到共享叢集後，定向查詢使用者環境變數裡的 AI 金鑰，官方也表示會核實並賠償非本人操作的額外費用。網友的反應大致分成三路：有人拿帳單出來對帳，有人直接質疑官方反應太慢，也有人用一句冷話，懷疑賠償會不會兌現。
十月中第二次出事，有網友說範圍比八月那次還大。10 月 17 日創辦人寄信宣布 12 月 31 日前全部關閉，有網友轉述信件，提醒共享叢集 12 月 1 日就會暫停，比 12 月 31 日早很多。這一輪的留言有人罵官方前後說法對不上，有人惋惜這家台灣新創，也有人在問資料和專案要怎麼搬走。
這些反應透露的是，最具體的壓力落在不太會寫程式的人身上。至少有兩位網友自稱非工程師：一位得自己查 Key 有沒有被用；另一位有超過 80 個專案放在上面，直說「不是工程師也要學系統怎麼搬遷了是嗎…」。有人心疼台灣新創，有人把火力對準官方。
把文末列出的來源攤開來看，先核對停運時程與 10 月事件的影響範圍。各家講法一致的地方不多，比較明顯的有兩處：第一，12/1 與 12/31 兩個日期，在 INSIDE、蕃薯藤與林沅霖公開信三處都對得上；第二，10 月事件的影響範圍，官方狀態頁後來修正過，這點在電腦王阿達、動區與官方狀態頁的紀錄一致。至於出入，確定的是 10 月事件的初步與修正後影響範圍；其他時間與公司年份說法，須先對齊時區及計算方式。
整理這四點的目的，是讓讀者知道哪些數字是「各家一致」可以寫進事實，哪些是「各家不同」要看後續官方報告。最缺的其實就是 Zeabur 自己公布的 10 月事件完整根因報告，目前只有狀態頁與零散的公開信，下一份正式公布出來前，媒體引述的細節都有可能再被修正。
這起事件也可從最小權限、憑證輪替與系統隔離等制度設計分析。當一個平台把帳號、金鑰、資料庫混在同一組環境變數與管理工具內，攻防的關鍵落在流程上：最小權限有沒有做、憑證有沒有定期輪替、退場中的舊系統有沒有隔離。Zeabur 的八月報告指出，退場中機制仍須維持足夠的隔離與存取限制。這篇我們不展開各家學術細節，有興趣的讀者可從 arXiv 的 cs.CR「密碼學與資訊安全」類別查找相關研究。回頭看使用者的兩條紅線：把所有環境變數一次全換，以及把退款與資安賠償分開送件，這兩件做到，剩下就看 12/31 之前能不能順利搬完家。
