Die Initia-Layer-1-Blockchain hat innerhalb von weniger als drei Wochen ihre zweite Sicherheitsverletzung erlitten, nachdem ein Angreifer einen kompromittierten Google-Cloud-Key ausnutzte, um Zugriff auf interne Systeme zu erhalten und gefälschte Abhebungen über fünf Rollups zu autorisieren. Dabei wurden digitale Assets im Wert von approximately 3,27 Millionen Dollar gestohlen, was die Bedenken hinsichtlich der Sicherheitsinfrastruktur des Netzwerks und des Schutzes der im Ökosystem überbrückten Assets weiter verschärft.

Angriffskette: Vom kompromittierten GCP-Key zu gefälschten Abhebungen

Laut der Darstellung von Initia begann der Angriff am 9. November, als der Angreifer durch einen Command-Injection-Angriff unter Verwendung eines kompromittierten Google Cloud Platform (GCP)-Keys, der für die Bereitstellung privater Nodes eingesetzt wurde, unbefugten Zugriff auf die Infrastruktur des Projekts erlangte. Die Verletzung legte Umgebungsvariablen offen, die dem Angreifer wiederum Zugriff auf die GitHub- und GCP-Konten von Initia sowie auf darin gespeicherte weitere Zugangsdaten verschafften.

Mit diesen Zugangsdaten gelangte der Angreifer zu Anvil, der Hosting-Plattform, die von den auf Initia eingesetzten Rollups genutzt wird. Von dort aus konnte der Angreifer gefälschte Inter-Blockchain-Communication (IBC)-Abhebungen von fünf Rollups validieren und thereby Assets freischalten, die in den IBC-Escrow-Konten des Initia L1 gehalten wurden. IBC ist das Interoperabilitätsprotokoll, das Token zwischen den Rollups von Initia, seinem L1 und externen Netzwerken wie Noble bewegt, wodurch die Escrow-Konten des L1 zum gemeinsamen Nadelöhr für die von allen fünf Rollups überbrückten Assets wurden.

Rund 3,27 Millionen Dollar an Assets wurden auf eine vom Angreifer kontrollierte Adresse auf dem Initia L1 verschoben, von denen sich etwa 2,16 Millionen Dollar weiterhin auf der pausierten Chain befinden und dort nicht bewegt werden können. Der Angreifer verkaufte gestohlene Assets auf der dezentralen Börse von Initia und hob dann 13,4k TIA – den nativen Token des Data-Availability-Netzwerks Celestia –, 8k USDC.inj und 597k Noble USDC, den auf der Noble-Chain ausgegebenen USD Coin, ab. Diese Abflüsse erreichten die ausgehenden IBC-Ratenlimits von Initia, Kontrollen, die darauf ausgelegt sind, den Wert, der innerhalb eines bestimmten Zeitraums über IBC die Chain verlassen kann, zu begrenzen. Kein INIT, der native Token des Netzwerks, wurde vom Angreifer abgehoben.

Die gestohlenen Mittel bestanden hauptsächlich aus überbrückten digitalen Assets, darunter USD Coin (USDC) und TIA, was darauf hindeutet, dass sich der Angriff auf im Netzwerk transferierte Assets und nicht auf den nativen Token selbst richtete. Der Vorfall unterstreicht die Risiken, die mit privilegierten Zugangsdaten und der Infrastruktur für die Verwaltung von Cross-Chain-Asset-Bewegungen verbunden sind: Während Blockchain-Transaktionen im Allgemeinen durch kryptografische Verifizierung geschützt sind, können Schwächen in administrativen Zugriffssystemen Angreifern Möglichkeiten eröffnen, Transaktionsfreigabeprozesse zu manipulieren.

Initia detailierte seine Erkenntnisse in einer auf X veröffentlichten Erklärung:

"Basierend auf unserer bisherigen Untersuchung erlangte ein Angreifer am 9. November durch einen Command-Injection-Angriff mit einem kompromittierten GCP-Key, der für die Bereitstellung privater Nodes verwendet wurde, unbefugten Zugriff auf die Infrastruktur von Initia. Dabei wurden Umgebungsvariablen offengelegt, die dem Angreifer Zugriff auf unsere GitHub- und GCP-Konten sowie auf weitere Zugangsdaten ermöglichten. Mit diesen Zugangsdaten erlangte der Angreifer Zugriff auf Anvil, die von den Rollups auf Initia genutzte Hosting-Plattform. Darüber war der Angreifer in der Lage, gefälschte IBC-Abhebungen von fünf Rollups zu validieren und thereby Assets freizuschalten, die von den IBC-Escrow-Konten des Initia L1 gehalten wurden. Rund 3,27 Mio. Dollar an Assets wurden auf die Initia-L1-Adresse des Angreifers verschoben, wobei 2,16 Mio. Dollar der gestohlenen Mittel auf der pausierten L1 verblieben, wo sie nicht bewegt werden können. Der Angreifer verkaufte gestohlene Assets auf dem Initia DEX und hob dann 13,4k TIA, 8k USDC.inj und 597k Noble USDC ab, wodurch die ausgehenden IBC-Ratenlimits von Initia erreicht wurden. Kein INIT wurde vom Angreifer von Initia abgehoben. Wir beabsichtigen, die Deckung der betroffenen Assets vollständig wiederherzustellen. Wir finalisieren den Plan und werden die Details mitteilen, sobald er bestätigt ist. Als Vorsichtsmaßnahme bauen wir die betroffene Infrastruktur in einer isolierten Umgebung von Grund auf neu, setzen Least-Privilege-Zugriffskontrollen durch und härten die Sicherheit auf jeder Ebene des Stacks – von der Cloud-Infrastruktur bis zur Onchain-IBC-Validierung. Angesichts dessen erwarten wir, dass dieser Prozess länger dauern wird als ein routinemäßiger Netzwerk-Neustart. Wir werden Zeitpläne mitteilen, sobald sie verfügbar sind. Alle Ankündigungen erfolgen über die offiziellen Kanäle von Initia. Danke für Ihre Geduld."

— Initia (@initia) 10. November 2026 (X-Beitrag)

Netzwerk um 06:18 UTC gestoppt, 2,16 Millionen Dollar eingefroren

Initia stoppte das Initia L1 am 10. November um 06:18 UTC in Abstimmung mit den Validatoren als Schutzmaßnahme, nachdem unbefugte Transfers von den Escrow-Konten, die Assets von mehreren Rollups halten, identifiziert worden waren. Die Aussetzung hat die On-Chain-Aktivität gestoppt, sodass Nutzer keine Transaktionen ausführen können, während das Team den Vorfall untersucht und an der Sicherung der betroffenen Infrastruktur arbeitet.

Laut der vorläufigen Prüfung des Unternehmens verließen etwa 605.000 USDC Initia über Noble, zusammen mit 10k Dollar in anderen Token, bevor das Netzwerk pausiert wurde. Der Großteil der übrigen Assets, die aus den Escrow-Konten bewegt wurden, befindet sich weiterhin auf der gestoppten Chain.

Der Stopp dient als wichtige Eindämmungsmaßnahme und begrenzt die Möglichkeit weiterer Abhebungen, während die Entwickler die kompromittierten Systeme untersuchen. Allerdings betrifft die Unterbrechung auch legitime Nutzer, die für Transfers und andere Blockchain-Operationen auf das Netzwerk angewiesen sind. Initia hat keinen bestätigten Zeitplan für den Neustart des Netzwerks genannt, was darauf hindeutet, dass das Team Sicherheitsüberprüfungen und Wiederherstellungsmaßnahmen priorisiert, bevor der normale Betrieb wieder aufgenommen wird.

In seiner ersten öffentlichen Erklärung erklärte Initia:

"Das Initia L1 wurde am 10. November um 06:18 UTC in Abstimmung mit den Validatoren als Schutzmaßnahme gestoppt. Wir haben diesen Schritt unternommen, nachdem wir unbefugte Transfers von den Escrow-Konten auf dem Initia L1 identifiziert hatten, die Assets von mehreren Rollups halten. Unsere bisherige Untersuchung zeigt, dass die Transfers mit kompromittierten Rollup-Infrastruktur-Keys durchgeführt wurden, die einem Angreifer ermöglichten, IBC-Transfers zu fälschen. Unsere vorläufige Prüfung zeigt, dass etwa 605.000 USDC über Noble von Initia abflossen, zusammen mit 10k Dollar in anderen Token, bevor das Netzwerk pausiert wurde. Der Großteil der übrigen Assets, die aus den Escrow-Konten bewegt wurden, befindet sich weiterhin auf der gestoppten L1. Wir arbeiten mit Sicherheitsteams, Validatoren und Börsen daran, den vollen Umfang zu ermitteln. Wir werden weitere Details mitteilen, sobald sie verfügbar sind. Bitte bleiben Sie vorsichtig gegenüber inoffiziellen Links, Nachrichten oder Behauptungen."

— Initia (@initia) 10. November 2026 (X-Beitrag)

Initia verspricht, die Asset-Deckung vollständig wiederherzustellen

Das Projekt hat zugesagt, die Deckung der betroffenen Token vollständig wiederherzustellen – ein Versprechen, das für Inhaber von Bridged-Assets besonderes Gewicht hat, da die Sicherheitsverletzung Fragen zu den Reserven aufgeworfen hat, die die im Umlauf befindlichen Token des Netzwerks stützen. Initia erklärte, dass der Wiederherstellungsplan finalisiert wird und Details mitgeteilt werden, sobald er bestätigt ist, und dass das Projekt mit Strafverfolgungsbehörden kooperiert, während es die Sicherheitsverletzung untersucht und an der Bewältigung des Vorfalls arbeitet.

Als Vorsichtsmaßnahme baut das Team die betroffene Infrastruktur in einer isolierten Umgebung von Grund auf neu, setzt Least-Privilege-Zugriffskontrollen durch und härtet die Sicherheit auf jeder Ebene des Stacks – von der Cloud-Infrastruktur bis zur On-Chain-IBC-Validierung. Angesichts dieser Arbeiten erwartet Initia, dass der Wiederherstellungsprozess länger dauern wird als ein routinemäßiger Netzwerk-Neustart, und hat zugesagt, Zeitpläne zu veröffentlichen, sobald sie verfügbar sind.

Die laufende Untersuchung muss zudem klären, wie genau die Google-Cloud-Zugangsdaten kompromittiert wurden und ob weitere interne Systeme oder Zugriffsberechtigungen offengelegt wurden. Für Nutzer und Token-Inhaber sind die konkreten Meilensteine der finalisierte Wiederherstellungsplan und ein bestätigter Zeitplan für die Wiederinbetriebnahme des Netzwerks, wobei alle Ankündigungen über die offiziellen Kanäle von Initia erfolgen.

Nutzer vor betrügerischen Erstattungsangeboten gewarnt

Im Zuge der Reaktion auf den Vorfall wurden Nutzer darauf hingewiesen, vorsichtig gegenüber betrügerischen Websites und unaufgeforderten Wiederherstellungsangeboten zu sein, die Erstattungen für gestohlene Assets versprechen. Sicherheitsvorfälle bieten oft Möglichkeiten für Sekundärbetrug, bei dem Angreifer betroffene Anleger über gefälschte Entschädigungsportale und Identitätsdiebstahl-Kampagnen ins Visier nehmen.

Anleger sollten sich ausschließlich auf die offizielle Website von Initia und verifizierte Kommunikationskanäle für Ankündigungen zur Untersuchung, zur Asset-Wiederherstellung und zum Netzwerk-Neustart verlassen.

Der Vorfall unterstreicht die Bedeutung der Sicherung von Cloud-Zugangsdaten, der Stärkung administrativer Zugriffskontrollen und der Implementierung zusätzlicher Schutzmaßnahmen für Abhebungsautorisierungen in vernetzten Blockchain-Netzwerken. Bis Initia seine Untersuchung abgeschlossen und bestätigt hat, dass die betroffene Infrastruktur sicher ist, sollten Nutzer bei Interaktionen mit dem Netzwerk vorsichtig sein und inoffizielle Wiederherstellungsdienste vermeiden.

Quelle: CoinTrust