La blockchain layer-1 Initia ha subito la sua seconda violazione della sicurezza in meno di tre settimane, dopo che un attaccante ha sfruttato una chiave Google Cloud compromessa per ottenere l'accesso ai sistemi interni e autorizzare prelievi fraudolenti su cinque rollup. Circa 3,27 milioni di dollari in asset digitali sono stati rubati, intensificando le preoccupazioni sull'infrastruttura di sicurezza della rete e sulla protezione degli asset bridged nel suo ecosistema.

Catena dell'attacco: da una chiave GCP compromessa ai prelievi forgiati

Secondo la ricostruzione dell'incidente fornita da Initia, l'intrusione è iniziata il 9 novembre, quando l'attaccante ha ottenuto l'accesso non autorizzato all'infrastruttura del progetto tramite un attacco di command injection utilizzando una chiave Google Cloud Platform (GCP) compromessa impiegata per il provisioning dei nodi privati. La violazione ha esposto le variabili d'ambiente, che a loro volta hanno dato all'attaccante accesso agli account GitHub e GCP di Initia e ad ulteriori credenziali ivi archiviate.

Con quelle credenziali, l'attaccante ha raggiunto Anvil, la piattaforma di hosting utilizzata dai rollup distribuiti su Initia. Da lì, l'attaccante è stato in grado di convalidare prelievi forgiati via Inter-Blockchain Communication (IBC) da cinque rollup, sbloccando gli asset custoditi negli account di escrow IBC della L1 di Initia. IBC è il protocollo di interoperabilità che sposta i token tra i rollup di Initia, la sua L1 e reti esterne come Noble, il che ha reso gli account di escrow della L1 il punto di strozzo condiviso per gli asset bridged da tutti e cinque i rollup.

Circa 3,27 milioni di dollari di asset sono stati spostati su un indirizzo controllato dall'attaccante sulla L1 di Initia, di cui circa 2,16 milioni di dollari rimangono sulla chain sospesa, dove non possono essere spostati. L'attaccante ha venduto gli asset rubati sull'exchange decentralizzato di Initia e poi ha prelevato 13,4k TIA — il token nativo della rete di data availability Celestia — 8k USDC.inj e 597k Noble USDC, l'USD Coin emesso sulla chain Noble. Quei deflussi hanno raggiunto i limiti di tariffa IBC in uscita di Initia, controlli progettati per limitare quanto valore può uscire dalla chain tramite IBC in un dato periodo. Nessun INIT, il token nativo della rete, è stato prelevato dall'attaccante.

I fondi rubati erano costituiti principalmente da asset digitali bridged, tra cui USD Coin (USDC) e TIA, indicando che l'attacco era mirato agli asset trasferiti attraverso la rete piuttosto che al token nativo stesso. L'incidente sottolinea i rischi legati alle credenziali privilegiate e all'infrastruttura che gestisce i movimenti di asset cross-chain: mentre le transazioni blockchain sono generalmente protette dalla verifica crittografica, le debolezze nei sistemi di accesso amministrativo possono creare opportunità per gli attaccanti di manipolare i processi di approvazione delle transazioni.

Initia ha dettagliato i propri risultati in una dichiarazione pubblicata su X:

"Based on our investigation so far, on November 9th an attacker gained unauthorized access to Initia's infrastructure through a command injection attack with a compromised GCP key used for provisioning private nodes. This exposed environment variables, which allowed the attacker to access our GitHub and GCP accounts and obtain further credentials. With these credentials the attacker gained access to Anvil, the hosting platform used by rollups on Initia. Through this the attacker was able to validate forged IBC withdrawals from five rollups, unlocking assets held by the Initia L1's IBC escrow accounts. Around $3.27m of assets were moved to the attacker's Initia L1 address with $2.16m of the stolen funds remaining on the paused L1 where they cannot be moved. The attacker sold stolen assets on the Initia DEX and then withdrew 13.4k TIA, 8k USDC.inj, and 597k Noble USDC reaching Initia's outbound IBC rate limits. No INIT was withdrawn from Initia by the attacker. We intend to restore the backing of affected assets in full. We are finalizing the plan and will share the details once it is confirmed. As a precaution, we are rebuilding the affected infrastructure from scratch in an isolated environment, enforcing least-privilege access controls, and hardening security at every layer of the stack from cloud infrastructure to onchain IBC validation. Given the above, we expect this process to be longer than a routine network restart. We will share timelines as they become available. All announcements will be made through Initia's official channels. Thank you for your patience."

— Initia (@initia) November 10, 2026 (post su X)

Rete fermata alle 06:18 UTC, 2,16 milioni di dollari bloccati

Initia ha fermato la L1 di Initia alle 06:18 UTC del 10 novembre, in coordinamento con i validatori, come misura di protezione dopo aver identificato trasferimenti non autorizzati dagli account di escrow che custodiscono gli asset bridged verso diversi rollup. La sospensione ha fermato l'attività on-chain, lasciando gli utenti impossibilitati a eseguire transazioni mentre il team indaga sull'incidente e lavora per mettere in sicurezza l'infrastruttura compromessa.

Secondo la revisione preliminare della società, circa 605.000 USDC sono usciti da Initia tramite Noble, insieme a 10k in altri token, prima che la rete fosse sospesa. La maggior parte degli asset rimanenti spostati dagli account di escrow è ancora sulla chain fermata.

La sospensione rappresenta un'importante misura di contenimento, limitando la possibilità di ulteriori prelievi mentre gli sviluppatori esaminano i sistemi compromessi. Tuttavia, l'interruzione colpisce anche gli utenti legittimi che dipendono dalla rete per trasferimenti e altre operazioni blockchain. Initia non ha fornito una tempistica confermata per il riavvio della rete, suggerendo che il team sta dando priorità alle valutazioni di sicurezza e alle misure di ripristino prima di riprendere le operazioni normali.

Nella sua prima dichiarazione pubblica, Initia ha dichiarato:

"The Initia L1 was halted at 06:18 UTC on November 10 in coordination with validators as a protective measure. We took this step after identifying unauthorized transfers from the escrow accounts on the Initia L1 that hold assets bridged to several rollups. Our investigation so far indicates that the transfers were made using compromised rollup infrastructure keys allowing an attacker to fabricate IBC transfers. Our preliminary review indicates that approximately $605,000 USDC left Initia through Noble along with $10k in other tokens before the network was paused. Most of the remaining assets moved out of the escrow accounts are still on the halted L1. We are working to determine the full scope with security teams, validators, and exchanges. We will share more details as they become available. Please remain cautious of unofficial links, messages, or claims."

— Initia (@initia) November 10, 2026 (post su X)

Initia si impegna a ripristinare integralmente la copertura degli asset

Il progetto si è impegnato a ripristinare integralmente la copertura dei token interessati, un impegno di particolare peso per i possessori di asset bridged, poiché la violazione ha sollevato domande sulle riserve che sostengono i token in circolazione sulla rete. Initia ha dichiarato di stare finalizzando il piano di ripristino e di condividerne i dettagli una volta confermato, e sta collaborando con le forze dell'ordine mentre indaga sulla violazione e lavora per il recupero dall'incidente.

Come precauzione, il team sta ricostruendo da zero l'infrastruttura compromessa in un ambiente isolato, applicando controlli di accesso a privilegi minimi e rafforzando la sicurezza a ogni livello dello stack, dall'infrastruttura cloud alla validazione on-chain di IBC. Dato questo lavoro, Initia si aspetta che il processo di recupero richieda più tempo di un normale riavvio della rete e si è impegnata a pubblicare le tempistiche man mano che diventano disponibili.

L'indagine in corso dovrà inoltre stabilire con precisione come la credenziale Google Cloud sia stata compromessa e se ulteriori sistemi interni o permessi di accesso siano stati esposti. Per utenti e possessori, i traguardi concreti da monitorare sono il piano di ripristino finalizzato e una tempistica confermata per il ritorno online della rete, con tutti gli annunci diffusi attraverso i canali ufficiali di Initia.

Avviso agli utenti contro le offerte di rimborso fraudolente

Parallelamente alla risposta alla violazione, agli utenti è stato consigliato di rimanere cauti riguardo ai siti web fraudolenti e alle offerte di recupero non richieste che dichiarano di fornire rimborsi per gli asset rubati. Gli incidenti di sicurezza creano spesso opportunità per truffe secondarie, con attaccanti che prendono di mira gli investitori colpiti tramite portali di compensazione finti e campagne di impersonificazione.

Gli investitori dovrebbero fare affidamento esclusivamente sul sito ufficiale di Initia e sui suoi canali di comunicazione verificati per gli annunci sull'indagine, il ripristino degli asset e il riavvio della rete.

L'incidente evidenzia l'importanza di mettere in sicurezza le credenziali cloud, rafforzare i controlli di accesso amministrativo e implementare ulteriori misure di salvaguardia per l'approvazione dei prelievi su reti blockchain interconnesse. Finché Initia non completerà la sua indagine e confermerà che l'infrastruttura compromessa è sicura, gli utenti dovrebbero esercitare cautela nell'interagire con la rete ed evitare servizi di recupero non ufficiali.

Fonte: CoinTrust