La blockchain layer-1 Initia ha confermato la seconda violazione della sicurezza in meno di tre settimane, dopo che attaccanti hanno ottenuto il controllo di circa 3,27 milioni di dollari in asset crypto. Secondo il progetto, l'ultimo exploit è derivato da credenziali cloud compromesse che hanno consentito prelievi non autorizzati da account che custodiscono asset bridged sulla rete.

Initia ha fermato la sua blockchain il 10 novembre 2026 per prevenire ulteriori perdite. Il team ha confermato che circa 2,16 milioni di dollari degli asset compromessi rimangono congelati sulla rete sospesa, limitando la capacità dell'attaccante di spostare fondi aggiuntivi.

Credenziali cloud compromesse hanno permesso la violazione

L'indagine di Initia ha rilevato che l'attaccante ha ottenuto l'accesso non autorizzato all'infrastruttura il 9 novembre tramite una chiave Google Cloud Platform (GCP) compromessa. Utilizzando una vulnerabilità di command injection, l'intruso ha esposto variabili d'ambiente sensibili e ha raccolto credenziali aggiuntive.

Quelle credenziali hanno consentito l'accesso agli account GitHub e cloud di Initia prima che l'attaccante raggiungesse Anvil, la piattaforma che ospita i rollup di Initia. L'attaccante ha quindi falsificato prelievi Inter-Blockchain Communication (IBC) su cinque rollup, sbloccando gli asset custoditi negli account di escrow della blockchain, come documentato in un post su Binance Square.

In totale, circa 3,27 milioni di dollari sono stati trasferiti a un indirizzo sulla rete di Initia. Tuttavia, l'arresto della blockchain ha impedito lo spostamento di circa 2,16 milioni di dollari di tali asset, lasciando circa 1,11 milioni di dollari del totale trasferito fuori dalla somma congelata.

Secondo attacco nel giro di poche settimane

L'incidente segue un exploit del 23 ottobre che ha causato perdite in criptovalute per circa 2,7 milioni di dollari. Quel precedente attacco aveva preso di mira una vulnerabilità nell'implementazione MoveVM di Initia, che consentiva la creazione e il trasferimento di saldi di token non autorizzati. Initia aveva temporaneamente sospeso le operazioni dopo l'incidente di ottobre e aveva ripristinato l'attività della rete il 2 novembre, per poi subire un'altra significativa violazione appena otto giorni dopo.

I due incidenti hanno seguito strategie diverse: l'attacco di ottobre mirava a un difetto nel codice MoveVM on-chain di Initia, mentre l'ultimo è iniziato con una chiave cloud compromessa — un promemoria del fatto che la gestione delle credenziali dell'infrastruttura è una superficie di attacco distinta dalla sicurezza degli smart contract, e che le correzioni a livello di codice da sole non affrontano.

Durante l'ultimo attacco, l'exploiter ha prelevato circa 13.400 token TIA, 8.000 USDC.inj e 597.000 Noble USDC. Initia ha confermato che nessun token INIT nativo è stato prelevato, il che significa che le perdite hanno riguardato gli asset bridged custoditi negli account di escrow della rete e non il suo token nativo.

Piani di recupero e revisione dell'infrastruttura

Initia ha dichiarato che intende ripristinare integralmente le riserve a supporto degli asset interessati, proseguendo gli sforzi di recupero insieme a specialisti di sicurezza e forze dell'ordine. Il progetto non ha annunciato una tempistica specifica per il completamento del processo.

Il team di sviluppo sta ricostruendo l'infrastruttura compromessa in un ambiente isolato e rafforzando i controlli di accesso. Prevede inoltre di migliorare i meccanismi di verifica per le transazioni cross-chain per ridurre il rischio di attacchi simili. Di conseguenza, il riavvio della rete richiederà più tempo rispetto a un recupero ordinario. Fino ad allora, i fondi congelati restano bloccati sulla catena sospesa, e la tempistica di riavvio, il ritmo del ripristino delle riserve e ogni movimento di fondi dall'indirizzo dell'attaccante sono gli sviluppi chiave da monitorare.

I exploit consecutivi sottolineano i rischi associati alle credenziali dell'infrastruttura compromesse e alla gestione degli asset cross-chain — rischi che vanno oltre Initia stessa, poiché l'infrastruttura gestita su cloud e gli account di escrow dei bridge sono componenti comuni negli ecosistemi multi-chain.