La blockchain de layer-1 Initia a subi sa seconde violation de sécurité en moins de trois semaines, après qu'un attaquant a exploité une clé Google Cloud compromise pour accéder aux systèmes internes et autoriser des retraits frauduleux sur cinq rollups. Environ 3,27 millions de dollars d'actifs numériques ont été volés, accentuant les inquiétudes concernant l'infrastructure de sécurité du réseau et la protection des actifs bridged dans son écosystème.

Chaîne d'attaque : d'une clé GCP compromise aux retraits falsifiés

Selon le récit de l'incident par Initia, l'intrusion a commencé le 9 novembre, lorsque l'attaquant a obtenu un accès non autorisé à l'infrastructure du projet via une attaque par injection de commandes utilisant une clé Google Cloud Platform (GCP) compromise employée pour le provisionnement de nœuds privés. La violation a exposé des variables d'environnement, donnant ainsi à l'attaquant accès aux comptes GitHub et GCP d'Initia et à d'autres identifiants qui y étaient stockés.

Muni de ces identifiants, l'attaquant a atteint Anvil, la plateforme d'hébergement utilisée par les rollups déployés sur Initia. De là, il a pu valider de faux retraits Inter-Blockchain Communication (IBC) depuis cinq rollups, débloquant les actifs détenus dans les comptes séquestre IBC de l'Initia L1. IBC est le protocole d'interopérabilité qui déplace les jetons entre les rollups d'Initia, son L1 et des réseaux externes tels que Noble, ce qui a fait des comptes séquestre du L1 le point de passage commun des actifs bridged depuis les cinq rollups.

Environ 3,27 millions de dollars d'actifs ont été transférés vers une adresse contrôlée par l'attaquant sur l'Initia L1, dont environ 2,16 millions de dollars restent sur la chaîne en pause, où ils ne peuvent pas être déplacés. L'attaquant a vendu les actifs volés sur l'échange décentralisé d'Initia, puis a retiré 13,4k TIA — le jeton natif du réseau de disponibilité des données Celestia — 8k USDC.inj et 597k Noble USDC, l'USD Coin émis sur la chaîne Noble. Ces sorties ont atteint les limites de débit IBC sortant d'Initia, des contrôles conçus pour plafonner la valeur pouvant quitter la chaîne via IBC sur une période donnée. Aucun INIT, le jeton natif du réseau, n'a été retiré par l'attaquant.

Les fonds volés se composaient principalement d'actifs numériques bridged, notamment l'USD Coin (USDC) et TIA, ce qui indique que l'attaque visait les actifs transférés sur le réseau plutôt que le jeton natif lui-même. L'incident souligne les risques liés aux identifiants privilégiés et à l'infrastructure gérant les mouvements d'actifs inter-chaînes : bien que les transactions blockchain soient généralement protégées par une vérification cryptographique, les faiblesses des systèmes d'accès administratif peuvent offrir aux attaquants des occasions de manipuler les processus d'approbation des transactions.

Initia a détaillé ses conclusions dans une déclaration publiée sur X :

"Based on our investigation so far, on November 9th an attacker gained unauthorized access to Initia's infrastructure through a command injection attack with a compromised GCP key used for provisioning private nodes. This exposed environment variables, which allowed the attacker to access our GitHub and GCP accounts and obtain further credentials. With these credentials the attacker gained access to Anvil, the hosting platform used by rollups on Initia. Through this the attacker was able to validate forged IBC withdrawals from five rollups, unlocking assets held by the Initia L1's IBC escrow accounts. Around $3.27m of assets were moved to the attacker's Initia L1 address with $2.16m of the stolen funds remaining on the paused L1 where they cannot be moved. The attacker sold stolen assets on the Initia DEX and then withdrew 13.4k TIA, 8k USDC.inj, and 597k Noble USDC reaching Initia's outbound IBC rate limits. No INIT was withdrawn from Initia by the attacker. We intend to restore the backing of affected assets in full. We are finalizing the plan and will share the details once it is confirmed. As a precaution, we are rebuilding the affected infrastructure from scratch in an isolated environment, enforcing least-privilege access controls, and hardening security at every layer of the stack from cloud infrastructure to onchain IBC validation. Given the above, we expect this process to be longer than a routine network restart. We will share timelines as they become available. All announcements will be made through Initia's official channels. Thank you for your patience."

— Initia (@initia) November 10, 2026 (publication X)

Réseau interrompu à 06h18 UTC, gel de 2,16 millions de dollars

Initia a interrompu l'Initia L1 à 06h18 UTC le 10 novembre, en coordination avec les validateurs, à titre de mesure de protection après avoir identifié des transferts non autorisés depuis les comptes séquestre détenant les actifs bridged vers plusieurs rollups. La suspension a stoppé l'activité on-chain, laissant les utilisateurs dans l'impossibilité d'exécuter des transactions pendant que l'équipe enquête sur l'incident et s'efforce de sécuriser l'infrastructure affectée.

Selon la revue préliminaire de la société, environ 605 000 USDC ont quitté Initia via Noble, accompagnés de 10k $ en autres jetons, avant que le réseau ne soit mis en pause. La plupart des actifs restants transférés hors des comptes séquestre se trouvent toujours sur la chaîne interrompue.

L'arrêt constitue une importante mesure d'endiguement, limitant la possibilité de retraits supplémentaires pendant que les développeurs examinent les systèmes compromis. Cependant, l'interruption affecte également les utilisateurs légitimes qui dépendent du réseau pour les transferts et d'autres opérations blockchain. Initia n'a pas fourni de calendrier confirmé pour le redémarrage du réseau, ce qui suggère que l'équipe donne la priorité aux évaluations de sécurité et aux mesures de récupération avant de rétablir les opérations normales.

Dans sa première déclaration publique, Initia a indiqué :

"The Initia L1 was halted at 06:18 UTC on November 10 in coordination with validators as a protective measure. We took this step after identifying unauthorized transfers from the escrow accounts on the Initia L1 that hold assets bridged to several rollups. Our investigation so far indicates that the transfers were made using compromised rollup infrastructure keys allowing an attacker to fabricate IBC transfers. Our preliminary review indicates that approximately $605,000 USDC left Initia through Noble along with $10k in other tokens before the network was paused. Most of the remaining assets moved out of the escrow accounts are still on the halted L1. We are working to determine the full scope with security teams, validators, and exchanges. We will share more details as they become available. Please remain cautious of unofficial links, messages, or claims."

— Initia (@initia) November 10, 2026 (publication X)

Initia s'engage à restaurer intégralement la couverture des actifs

Le projet s'est engagé à restaurer intégralement la couverture des jetons affectés, un engagement qui revêt une importance particulière pour les détenteurs d'actifs bridged, la violation ayant soulevé des questions sur les réserves soutenant les jetons en circulation sur le réseau. Initia a déclaré finaliser le plan de restauration et communiquera les détails une fois confirmés, et coordonne avec les forces de l'ordre dans son enquête sur la violation et ses efforts de rétablissement.

Par précaution, l'équipe reconstruit l'infrastructure affectée de zéro dans un environnement isolé, applique des contrôles d'accès au privilège minimal et renforce la sécurité à chaque couche de la pile, de l'infrastructure cloud à la validation IBC on-chain. Compte tenu de ce travail, Initia prévoit que le processus de récupération prendra plus de temps qu'un redémarrage de routine du réseau et s'est engagé à publier les calendriers dès qu'ils seront disponibles.

L'enquête en cours devra également établir précisément comment l'identifiant Google Cloud a été compromis et si d'autres systèmes internes ou autorisations d'accès ont été exposés. Pour les utilisateurs et les détenteurs, les jalons concrets à surveiller sont le plan de restauration finalisé et un calendrier confirmé pour la remise en ligne du réseau, toutes les annonces étant diffusées via les canaux officiels d'Initia.

Les utilisateurs mis en garde contre des offres de remboursement frauduleuses

Parallèlement à la réponse à la violation, les utilisateurs ont été invités à rester prudents face aux sites web frauduleux et aux offres de récupération non sollicitées prétendant fournir des remboursements pour les actifs volés. Les incidents de sécurité créent souvent des occasions d'arnaques secondaires, les attaquants ciblant les investisseurs affectés par le biais de faux portails de compensation et de campagnes d'usurpation d'identité.

Les investisseurs doivent s'appuyer exclusivement sur le site officiel d'Initia et sur ses canaux de communication vérifiés pour les annonces concernant l'enquête, la restauration des actifs et le redémarrage du réseau.

L'incident souligne l'importance de sécuriser les identifiants cloud, de renforcer les contrôles d'accès administratif et de mettre en place des protections supplémentaires pour l'approbation des retraits sur les réseaux blockchain interconnectés. Jusqu'à ce qu'Initia achève son enquête et confirme que l'infrastructure affectée est sécurisée, les utilisateurs doivent faire preuve de prudence lorsqu'ils interagissent avec le réseau et éviter les services de récupération non officiels.

Source : CoinTrust