Die Layer-1-Blockchain Initia hat ihre zweite Sicherheitsverletzung innerhalb von weniger als drei Wochen bestätigt, nachdem Angreifer die Kontrolle über Kryptowerte im Wert von rund 3,27 Millionen US-Dollar erlangten. Nach Angaben des Projekts ging der jüngste Exploit auf kompromittierte Cloud-Zugangsdaten zurück, die unbefugte Abhebungen von Konten ermöglichten, auf denen über das Netzwerk gebridgte Assets verwahrt wurden.

Initia stoppte ihre Blockchain am 10. November 2026, um weitere Verluste zu verhindern. Das Team bestätigte, dass sich rund 2,16 Millionen US-Dollar der kompromittierten Assets weiterhin auf dem ausgesetzten Netzwerk eingefroren befinden, was die Fähigkeit des Angreifers einschränkt, weitere Mittel zu bewegen.

Kompromittierte Cloud-Zugangsdaten ermöglichten die Sicherheitsverletzung

Initias Untersuchung ergab, dass der Angreifer am 9. November über einen kompromittierten Google-Cloud-Platform(GCP)-Schlüssel unbefugten Zugang zur Infrastruktur erlangte. Mittels einer Command-Injection-Schwachstelle exponierte der Eindringling sensible Umgebungsvariablen und sammelte weitere Zugangsdaten ein.

Diese Zugangsdaten gewährten Zugang zu Initias GitHub- und Cloud-Konten, bevor der Angreifer Anvil erreichte, die Plattform, die Initias Rollups hostet. Anschließend fälschte der Angreifer Inter-Blockchain-Communication(IBC)-Abhebungen über fünf Rollups hinweg und schloss damit Assets frei, die in den Escrow-Konten der Blockchain hinterlegt waren, wie in einem Binance-Square-Beitrag dokumentiert.

Insgesamt wurden rund 3,27 Millionen US-Dollar an eine Adresse im Initia-Netzwerk übertragen. Der Shutdown der Blockchain verhinderte jedoch die Bewegung von etwa 2,16 Millionen US-Dollar dieser Assets, sodass rund 1,11 Millionen US-Dollar des übertragenen Gesamtbetrags außerhalb des eingefrorenen Betrags verblieben.

Zweiter Angriff innerhalb weniger Wochen

Der Vorfall folgt auf einen Exploit vom 23. Oktober, der Kryptoverluste von rund 2,7 Millionen US-Dollar verursachte. Dieser frühere Angriff zielte auf eine Schwachstelle in Initias MoveVM-Implementierung ab, die es ermöglichte, unbefugte Token-Guthaben zu erstellen und zu übertragen. Initia setzte den Betrieb nach dem Oktober-Vorfall vorübergehend aus und stellte die Netzwerkaktivität am 2. November wieder her – nur um acht Tage später eine weitere erhebliche Sicherheitsverletzung zu erleiden.

Die beiden Vorfälle verliefen nach unterschiedlichen Mustern: Der Oktober-Angriff zielte auf einen Fehler in Initias On-Chain-MoveVM-Code ab, während der jüngste mit einem kompromittierten Cloud-Schlüssel begann – eine Erinnerung daran, dass das Management von Infrastruktur-Zugangsdaten eine eigene Angriffsfläche neben der Smart-Contract-Sicherheit darstellt und alleinige Fixes auf Codeebene dieses Problem nicht lösen.

Bei dem jüngsten Angriff zog der Exploiter approximately 13.400 TIA-Token, 8.000 USDC.inj und 597.000 Noble USDC ab. Initia bestätigte, dass keine nativen INIT-Token entwendet wurden, meaning die Verluste gebridgte Assets in den Escrow-Konten des Netzwerks betrafen und nicht den eigenen Token des Projekts.

Wiederaufbaupläne und Infrastruktur-Überholung

Initia erklärte, die Reserven, die die betroffenen Assets unterlegen, vollständig wiederherstellen zu wollen, während die Bemühungen zur Bergung gemeinsam mit Sicherheitsspezialisten und Strafverfolgungsbehörden fortgesetzt werden. Das Projekt hat keinen konkreten Zeitplan für den Abschluss des Prozesses angekündigt.

Das Entwicklungsteam baut die kompromittierte Infrastruktur in einer isolierten Umgebung wieder auf und stärkt die Zugriffskontrollen. Es plant zudem, die Verifizierungsmechanismen für Cross-Chain-Transaktionen zu verbessern, um das Risiko ähnlicher Angriffe zu verringern. Infolgedessen wird der Neustart des Netzwerks länger dauern als eine routinemäßige Wiederherstellung. Bis dahin bleiben die eingefrorenen Mittel auf der ausgesetzten Chain gesperrt, und der Zeitplan für den Neustart, das Tempo der Auffüllung der Reserven sowie etwaige Mittelbewegungen von der Adresse des Angreifers sind die wichtigsten Entwicklungen, die zu beobachten sind.

Die Angriffe in schneller Folge unterstreichen die Risiken, die mit kompromittierten Infrastruktur-Zugangsdaten und dem Management von Cross-Chain-Assets verbunden sind – Risiken, die über Initia hinausgehen, da cloudverwaltete Infrastruktur und Bridge-Escrow-Konten häufige Bausteine in Multi-Chain-Ökosystemen sind.