La blockchain de capa 1 Initia ha sufrido su segunda brecha de seguridad en menos de tres semanas, después de que un atacante explotara una clave comprometida de Google Cloud para acceder a sistemas internos y autorizar retiros fraudulentos a través de cinco rollups. Aproximadamente 3,27 millones de dólares en activos digitales fueron robados, lo que intensificó las preocupaciones sobre la infraestructura de seguridad de la red y la protección de los activos puente dentro de su ecosistema.

Cadena del ataque: de una clave GCP comprometida a retiros fraudulentos

Según el relato de Initia sobre el incidente, la intrusión comenzó el 9 de noviembre, cuando el atacante obtuvo acceso no autorizado a la infraestructura del proyecto mediante un ataque de inyección de comandos que utilizaba una clave comprometida de Google Cloud Platform (GCP) empleada para aprovisionar nodos privados. La brecha expuso variables de entorno, lo que a su vez dio al atacante acceso a las cuentas de GitHub y GCP de Initia y a credenciales adicionales almacenadas en ellas.

Con esas credenciales, el atacante llegó a Anvil, la plataforma de alojamiento utilizada por los rollups desplegados en Initia. Desde allí, el atacante pudo validar retiros fraudulentos de Inter-Blockchain Communication (IBC) desde cinco rollups, desbloqueando activos custodiados en las cuentas de depósito IBC del L1 de Initia. IBC es el protocolo de interoperabilidad que mueve tokens entre los rollups de Initia, su L1 y redes externas como Noble, lo que convirtió las cuentas de depósito del L1 en el punto común de control para los activos puente provenientes de los cinco rollups.

Alrededor de 3,27 millones de dólares en activos fueron transferidos a una dirección controlada por el atacante en el L1 de Initia, de los cuales aproximadamente 2,16 millones permanecen en la cadena pausada, donde no pueden moverse. El atacante vendió los activos robados en el exchange descentralizado de Initia y luego retiró 13,4k TIA —el token nativo de la red de disponibilidad de datos Celestia—, 8k USDC.inj y 597k Noble USDC, el USD Coin emitido en la cadena Noble. Esos flujos de salida alcanzaron los límites de tasa de salida IBC de Initia, controles diseñados para limitar cuánto valor puede salir de la cadena a través de IBC en un período determinado. No se retiró ningún INIT, el token nativo de la red, por parte del atacante.

Los fondos robados consistían principalmente en activos digitales puente, incluidos USD Coin (USDC) y TIA, lo que indica que el ataque se dirigió a los activos transferidos a través de la red y no al token nativo en sí. El incidente subraya los riesgos vinculados a las credenciales privilegiadas y a la infraestructura que gestiona los movimientos de activos entre cadenas: si bien las transacciones blockchain generalmente están protegidas por verificación criptográfica, las debilidades en los sistemas de acceso administrativo pueden crear oportunidades para que los atacantes manipulen los procesos de aprobación de transacciones.

Initia detalló sus hallazgos en un comunicado publicado en X:

"Según nuestra investigación hasta ahora, el 9 de noviembre un atacante obtuvo acceso no autorizado a la infraestructura de Initia mediante un ataque de inyección de comandos con una clave GCP comprometida utilizada para aprovisionar nodos privados. Esto expuso variables de entorno, lo que permitió al atacante acceder a nuestras cuentas de GitHub y GCP y obtener credenciales adicionales. Con estas credenciales, el atacante obtuvo acceso a Anvil, la plataforma de alojamiento utilizada por los rollups en Initia. A través de esto, el atacante pudo validar retiros IBC fraudulentos desde cinco rollups, desbloqueando activos custodiados en las cuentas de depósito IBC del L1 de Initia. Alrededor de 3,27 millones de dólares en activos fueron movidos a la dirección del atacante en el L1 de Initia, con 2,16 millones de dólares de los fondos robados permaneciendo en el L1 pausado, donde no pueden moverse. El atacante vendió los activos robados en el DEX de Initia y luego retiró 13,4k TIA, 8k USDC.inj y 597k Noble USDC, alcanzando los límites de tasa de salida IBC de Initia. El atacante no retiró ningún INIT de Initia. Nuestra intención es restituir íntegramente el respaldo de los activos afectados. Estamos finalizando el plan y compartiremos los detalles una vez confirmado. Como precaución, estamos reconstruyendo la infraestructura afectada desde cero en un entorno aislado, aplicando controles de acceso de privilegio mínimo y reforzando la seguridad en cada capa del stack, desde la infraestructura en la nube hasta la validación IBC on-chain. Dado lo anterior, esperamos que este proceso tome más tiempo que un reinicio rutinario de la red. Compartiremos los plazos a medida que estén disponibles. Todos los anuncios se realizarán a través de los canales oficiales de Initia. Gracias por su paciencia."

— Initia (@initia) 10 de noviembre de 2026 (publicación en X)

Red detenida a las 06:18 UTC, congelando 2,16 millones de dólares

Initia detuvo el L1 de Initia a las 06:18 UTC del 10 de noviembre, en coordinación con los validadores, como medida de protección después de identificar transferencias no autorizadas desde las cuentas de depósito que custodian activos puente hacia varios rollups. La suspensión detuvo la actividad on-chain, dejando a los usuarios sin poder ejecutar transacciones mientras el equipo investiga el incidente y trabaja para asegurar la infraestructura afectada.

Según la revisión preliminar de la compañía, aproximadamente 605.000 USDC salieron de Initia a través de Noble, junto con 10.000 dólares en otros tokens, antes de que la red fuera pausada. La mayoría de los activos restantes que salieron de las cuentas de depósito siguen en la cadena detenida.

La detención sirve como una medida importante de contención, ya que limita la posibilidad de retiros adicionales mientras los desarrolladores examinan los sistemas comprometidos. Sin embargo, la interrupción también afecta a usuarios legítimos que dependen de la red para transferencias y otras operaciones blockchain. Initia no ha proporcionado un plazo confirmado para reiniciar la red, lo que sugiere que el equipo está priorizando las evaluaciones de seguridad y las medidas de recuperación antes de restablecer las operaciones normales.

En su primer comunicado público, Initia dijo:

"El L1 de Initia fue detenido a las 06:18 UTC del 10 de noviembre en coordinación con los validadores como medida de protección. Tomamos esta medida después de identificar transferencias no autorizadas desde las cuentas de depósito en el L1 de Initia que custodian activos puente hacia varios rollups. Nuestra investigación hasta ahora indica que las transferencias se realizaron utilizando claves de infraestructura de rollup comprometidas, lo que permitió a un atacante fabricar transferencias IBC. Nuestra revisión preliminar indica que aproximadamente 605.000 USDC salieron de Initia a través de Noble junto con 10.000 dólares en otros tokens antes de que la red fuera pausada. La mayoría de los activos restantes que salieron de las cuentas de depósito siguen en el L1 detenido. Estamos trabajando para determinar el alcance total con equipos de seguridad, validadores y exchanges. Compartiremos más detalles a medida que estén disponibles. Por favor, manténganse cautelosos ante enlaces, mensajes o afirmaciones no oficiales."

— Initia (@initia) 10 de noviembre de 2026 (publicación en X)

Initia se compromete a restituir íntegramente el respaldo de los activos

El proyecto se ha comprometido a restituir íntegramente el respaldo de los tokens afectados, un compromiso de especial peso para los poseedores de activos puente, ya que la brecha ha generado preguntas sobre las reservas que respaldan a los tokens en circulación en la red. Initia dijo que está finalizando el plan de restitución y compartirá los detalles una vez confirmados, y que está coordinando con las autoridades policiales mientras investiga la brecha y trabaja en la recuperación del incidente.

Como precaución, el equipo está reconstruyendo la infraestructura afectada desde cero en un entorno aislado, aplicando controles de acceso de privilegio mínimo y reforzando la seguridad en cada capa del stack, desde la infraestructura en la nube hasta la validación IBC on-chain. Dado ese trabajo, Initia espera que el proceso de recuperación tome más tiempo que un reinicio rutinario de la red y se ha comprometido a publicar los plazos a medida que estén disponibles.

La investigación en curso también deberá establecer con precisión cómo fue comprometida la credencial de Google Cloud y si se expusieron sistemas internos o permisos de acceso adicionales. Para los usuarios y poseedores, los hitos concretos a seguir son el plan de restitución finalizado y un plazo confirmado para devolver la red a la operatividad, con todos los anuncios canalizados a través de los canales oficiales de Initia.

Alertan a los usuarios sobre ofertas de reembolso fraudulentas

Junto con la respuesta a la brecha, se ha aconsejado a los usuarios mantenerse cautelosos ante sitios web fraudulentos y ofertas de recuperación no solicitadas que afirman proporcionar reembolsos por los activos robados. Los incidentes de seguridad a menudo generan oportunidades para estafas secundarias, con atacantes que se dirigen a los inversores afectados mediante portales de compensación falsos y campañas de suplantación.

Los inversores deben confiar exclusivamente en el sitio web oficial de Initia y en sus canales de comunicación verificados para los anuncios sobre la investigación, la restitución de activos y el reinicio de la red.

El incidente destaca la importancia de proteger las credenciales en la nube, fortalecer los controles de acceso administrativo e implementar salvaguardas adicionales para las aprobaciones de retiros en redes blockchain interconectadas. Hasta que Initia complete su investigación y confirme que la infraestructura afectada es segura, los usuarios deben actuar con precaución al interactuar con la red y evitar servicios de recuperación no oficiales.

Fuente: CoinTrust