レイヤー1ブロックチェーンのInitiaが、攻撃者により漏洩したGoogle Cloudのキーを悪用され内部システムへのアクセスと5つのロールアップにわたる偽造出金の承認を受け、3週間足らずで2度目のセキュリティ侵害を被った。約327万ドル相当のデジタル資産が盗まれ、ネットワークのセキュリティインフラとエコシステム全体にブリッジされた資産の保護に対する懸念が強まっている。

攻撃の経路:漏洩したGCPキーから偽造出金まで

Initiaによる説明によると、侵入は11月9日に始まった。攻撃者は、プライベートノードのプロビジョニングに使用されていた漏洩したGoogle Cloud Platform(GCP)キーを用いたコマンドインジェクション攻撃により、プロジェクトのインフラに不正アクセスした。この侵害により環境変数が露出し、攻撃者はInitiaのGitHubアカウントとGCPアカウント、およびそこに保存されていた追加の認証情報へアクセスするに至った。

これらの認証情報を用いて、攻撃者はInitia上にデプロイされたロールアップが使用するホスティングプラットフォーム「Anvil」に到達した。そこから攻撃者は、5つのロールアップからの偽造されたIBC(Inter-Blockchain Communication)出金を承認し、Initia L1のIBCエスクローアカウントが保持する資産のロックを解除した。IBCはInitiaのロールアップ、L1、およびNobleなどの外部ネットワーク間でトークンを移動する相互運用プロトコルであり、そのためL1のエスクローアカウントは、5つのロールアップすべてからブリッジされた資産の共通の要衝となっていた。

約327万ドル相当の資産が攻撃者管理のInitia L1アドレスに移送され、このうち約216万ドルは停止中のチェーン上に残されており、移動することはできない。攻撃者はInitiaの分散型取引所(DEX)で盗んだ資産を売却した後、13.4k TIA(Celestiaデータ可用性ネットワークのネイティブトークン)、8k USDC.inj、および597k Noble USDC(Nobleチェーン上で発行されたUSD Coin)を引き出し、InitiaのIBC送金レート制限に達した。このレート制限は、一定期間内にIBC経由でチェーンから流出できる価値を上限で抑えるための制御である。ネットワークのネイティブトークンであるINITは、攻撃者により一切引き出されていない。

盗まれた資金は主にUSD Coin(USDC)やTIAといったブリッジされたデジタル資産で構成されており、この攻撃がネイティブトークンではなくネットワーク間で移送される資産を標的としたことを示している。本件は、特権的な認証情報およびクロスチェーン資産移動を管理するインフラに伴うリスクを浮き彫りにしている。ブロックチェーン上の取引は一般に暗号学的検証によって保護されているが、管理アクセスシステムの脆弱性は、攻撃者に取引承認プロセスを操作する機会を与えうる。

InitiaはXに投稿した声明で調査結果を詳述した:

"Based on our investigation so far, on November 9th an attacker gained unauthorized access to Initia's infrastructure through a command injection attack with a compromised GCP key used for provisioning private nodes. This exposed environment variables, which allowed the attacker to access our GitHub and GCP accounts and obtain further credentials. With these credentials the attacker gained access to Anvil, the hosting platform used by rollups on Initia. Through this the attacker was able to validate forged IBC withdrawals from five rollups, unlocking assets held by the Initia L1's IBC escrow accounts. Around $3.27m of assets were moved to the attacker's Initia L1 address with $2.16m of the stolen funds remaining on the paused L1 where they cannot be moved. The attacker sold stolen assets on the Initia DEX and then withdrew 13.4k TIA, 8k USDC.inj, and 597k Noble USDC reaching Initia's outbound IBC rate limits. No INIT was withdrawn from Initia by the attacker. We intend to restore the backing of affected assets in full. We are finalizing the plan and will share the details once it is confirmed. As a precaution, we are rebuilding the affected infrastructure from scratch in an isolated environment, enforcing least-privilege access controls, and hardening security at every layer of the stack from cloud infrastructure to onchain IBC validation. Given the above, we expect this process to be longer than a routine network restart. We will share timelines as they become available. All announcements will be made through Initia's official channels. Thank you for your patience."

— Initia (@initia) November 10, 2026 (X post)

06:18 UTCにネットワーク停止、216万ドルを凍結

Initiaは11月10日06:18 UTC、バリデータと協調してInitia L1を保護措置として停止した。これは、複数のロールアップへブリッジされた資産を保管するエスクローアカウントからの不正な移送を確認した後の措置である。この停止によりオンチェーン活動は停止し、チームがインシデントを調査し、影響を受けたインフラの安全確保に取り組む間、ユーザーは取引を実行できない状態となっている。

同社の予備調査によると、ネットワーク停止前に約60.5万ドルのUSDCがNoble経由でInitiaから流出し、その他のトークンで1万ドル相当が流出した。エスクローアカウントから移動した残りの資産の大部分は、まだ停止中のチェーン上にある。

この停止は、開発者が侵害されたシステムを調査する間、追加の出金の可能性を制限する重要な封じ込め措置として機能している。しかし、この中断は、送金やその他のブロックチェーン操作でネットワークに依存する正規ユーザーにも影響を与えている。Initiaはネットワーク再開の時期について確定した見通しを示しておらず、チームが通常運用の復旧前にセキュリティ評価と復旧措置を優先していることをうかがわせる。

最初の公式声明でInitiaは次のように述べた:

"The Initia L1 was halted at 06:18 UTC on November 10 in coordination with validators as a protective measure. We took this step after identifying unauthorized transfers from the escrow accounts on the Initia L1 that hold assets bridged to several rollups. Our investigation so far indicates that the transfers were made using compromised rollup infrastructure keys allowing an attacker to fabricate IBC transfers. Our preliminary review indicates that approximately $605,000 USDC left Initia through Noble along with $10k in other tokens before the network was paused. Most of the remaining assets moved out of the escrow accounts are still on the halted L1. We are working to determine the full scope with security teams, validators, and exchanges. We will share more details as they become available. Please remain cautious of unofficial links, messages, or claims."

— Initia (@initia) November 10, 2026 (X post)

Initia、資産担保の全額回復を約束

同プロジェクトは、影響を受けたトークンの担保を全額回復することを約束している。このコミットメントは、侵害によりネットワーク上で流通するトークンを支える準備金に疑問が生じたことから、ブリッジ資産の保有者にとってとりわけ重要である。Initiaは復旧計画を最終段階で調整中であり、確定次第詳細を共有すると述べている。また、侵害の調査とインシデントからの復旧に向け、法執行機関とも連携している。

予防措置として、チームは影響を受けたインフラを隔離環境でゼロから再構築し、最小権限アクセス制御を徹底し、クラウドインフラからオンチェーンのIBC検証に至るスタックのすべての層でセキュリティを強化している。この作業を踏まえ、Initiaは復旧プロセスが通常のネットワーク再開よりも長時間を要すると見込んでおり、見通しが判明次第公表する方針を示している。

進行中の調査では、Google Cloudの認証情報がどのように漏洩したのか、また追加の内部システムやアクセス権限が露出していなかったかを正確に解明する必要もある。ユーザーおよび保有者が注目すべき具体的な節目は、確定した復旧計画とネットワーク再開の確定スケジュールであり、すべての発表はInitiaの公式チャンネルを通じて行われる。

不正な返金オファーへの警告

侵害への対応と並行して、盗まれた資産の返金をうたう不正なウェブサイトや未請求の復旧オファーに対して警戒を続けるようユーザーに勧告が出されている。セキュリティインシデントはしばしば二次詐欺の機会を生み、攻撃者が偽の補償ポータルやなりすましキャンペーンを通じて被害を受けた投資者を標的にするケースがある。

投資者は、調査、資産復旧、ネットワーク再開に関する確かな発表については、Initiaの公式ウェブサイトおよび確認済みのコミュニケーションチャンネルのみに頼るべきである。

本インシデントは、クラウド認証情報の保護、管理アクセス制御の強化、相互接続されたブロックチェーンネットワーク全体での出金承認への追加 safeguards の実装の重要性を浮き彫りにしている。Initiaが調査を完了し、影響を受けたインフラの安全を確認するまで、ユーザーはネットワークとのやり取りに注意を払い、非公式の復旧サービスを避けるべきである。

出典:CoinTrust