De Initia layer-1 blockchain heeft binnen minder dan drie weken haar tweede security-inbreuk geleden, nadat een aanvaller een gecompromitteerde Google Cloud-sleutel misbruikte om toegang te krijgen tot interne systemen en frauduleuze opnames over vijf rollups goed te keuren. Ongeveer 3,27 miljoen dollar aan digitale assets werd gestolen, wat de zorgen over de security-infrastructuur van het netwerk en de bescherming van gebridgede assets binnen het ecosysteem verder versterkte.

Aanvalsketen: Van een gecompromitteerde GCP-sleutel tot vervalste opnames

Volgens het verslag van Initia over het incident begon de inbraak op 9 november, toen de aanvaller onbevoegde toegang kreeg tot de infrastructuur van het project via een command injection-aanval met een gecompromitteerde Google Cloud Platform (GCP)-sleutel die werd gebruikt voor het inrichten van private nodes. De inbreuk legde omgevingsvariabelen bloot, waarmee de aanvaller vervolgens toegang kreeg tot de GitHub- en GCP-accounts van Initia en tot verdere credentials die daarin waren opgeslagen.

Met die credentials bereikte de aanvaller Anvil, het hostingplatform dat wordt gebruikt door rollups die op Initia zijn uitgerold. Van daaruit kon de aanvaller vervalste Inter-Blockchain Communication (IBC)-opnames van vijf rollups valideren, waarmee assets werden vrijgegeven die werden aangehouden in de IBC-escrowaccounts van de Initia L1. IBC is het interoperabiliteitsprotocol dat tokens verplaatst tussen de rollups van Initia, de L1 en externe netwerken zoals Noble, wat de escrowaccounts van de L1 tot het gemeenschappelijke knelpunt maakte voor assets die vanaf alle vijf de rollups waren gebrugd.

Ongeveer 3,27 miljoen dollar aan assets werd verplaatst naar een door de aanvaller gecontroleerd adres op de Initia L1, waarvan circa 2,16 miljoen dollar nog steeds op de gepauzeerde keten staat, waar het niet verplaatst kan worden. De aanvaller verkocht gestolen assets op de gedecentraliseerde beurs van Initia en trok vervolgens 13,4k TIA — de native token van het data availability-netwerk Celestia — 8k USDC.inj en 597k Noble USDC op, de USD Coin die op de Noble-keten wordt uitgegeven. Die uitstromen bereikten de uitgaande IBC-ratielimieten van Initia, controles die zijn ontworpen om te beperken hoeveel waarde het netwerk binnen een bepaalde periode via IBC kan verlaten. Er werd geen INIT, de native token van het netwerk, door de aanvaller opgenomen.

De gestolen fondsen bestonden voornamelijk uit gebridgede digitale assets, waaronder USD Coin (USDC) en TIA, wat aangeeft dat de aanval zich richtte op assets die over het netwerk werden verplaatst en niet op de native token zelf. Het incident onderstreept de risico's die verbonden zijn aan privileges credentials en de infrastructuur die cross-chain assetbewegingen beheert: hoewel blockchaintransacties over het algemeen worden beschermd door cryptografische verificatie, kunnen zwakke punten in systemen met administratieve toegang aanvallers de mogelijkheid bieden om goedkeuringsprocessen van transacties te manipuleren.

Initia lichtte haar bevindingen toe in een verklaring die op X werd geplaatst:

"Based on our investigation so far, on November 9th an attacker gained unauthorized access to Initia's infrastructure through a command injection attack with a compromised GCP key used for provisioning private nodes. This exposed environment variables, which allowed the attacker to access our GitHub and GCP accounts and obtain further credentials. With these credentials the attacker gained access to Anvil, the hosting platform used by rollups on Initia. Through this the attacker was able to validate forged IBC withdrawals from five rollups, unlocking assets held by the Initia L1's IBC escrow accounts. Around $3.27m of assets were moved to the attacker's Initia L1 address with $2.16m of the stolen funds remaining on the paused L1 where they cannot be moved. The attacker sold stolen assets on the Initia DEX and then withdrew 13.4k TIA, 8k USDC.inj, and 597k Noble USDC reaching Initia's outbound IBC rate limits. No INIT was withdrawn from Initia by the attacker. We intend to restore the backing of affected assets in full. We are finalizing the plan and will share the details once it is confirmed. As a precaution, we are rebuilding the affected infrastructure from scratch in an isolated environment, enforcing least-privilege access controls, and hardening security at every layer of the stack from cloud infrastructure to onchain IBC validation. Given the above, we expect this process to be longer than a routine network restart. We will share timelines as they become available. All announcements will be made through Initia's official channels. Thank you for your patience."

— Initia (@initia) November 10, 2026 (X-bericht)

Netwerk gestopt om 06:18 UTC, 2,16 miljoen dollar bevroren

Initia stopte de Initia L1 op 10 november om 06:18 UTC, in overleg met validators, als beschermende maatregel nadat onbevoegde overboekingen uit de escrowaccounts die assets bevatten die naar verschillende rollups waren gebrugd, waren geconstateerd. De opschorting heeft de on-chain activiteit stopgezet, waardoor gebruikers geen transacties kunnen uitvoeren terwijl het team het incident onderzoekt en werkt aan het beveiligen van de aangetaste infrastructuur.

Volgens de voorlopige beoordeling van het bedrijf verlieten ongeveer 605.000 dollar aan USDC Initia via Noble, samen met 10k dollar aan andere tokens, voordat het netwerk werd gepauzeerd. Het grootste deel van de overige assets die uit de escrowaccounts zijn verplaatst, bevindt zich nog op de gestopte keten.

De stopzetting dient als een belangrijke inperkingsmaatregel en beperkt de mogelijkheid van extra opnames terwijl ontwikkelaars de gecompromitteerde systemen onderzoeken. De onderbreking treft echter ook legitieme gebruikers die van het netwerk afhankelijk zijn voor transfers en andere blockchainoperaties. Initia heeft geen bevestigde tijdlijn gegeven voor het herstarten van het netwerk, wat erop wijst dat het team prioriteit geeft aan securitybeoordelingen en herstelmaatregelen voordat de normale operaties worden hervat.

In haar eerste openbare verklaring zei Initia:

"The Initia L1 was halted at 06:18 UTC on November 10 in coordination with validators as a protective measure. We took this step after identifying unauthorized transfers from the escrow accounts on the Initia L1 that hold assets bridged to several rollups. Our investigation so far indicates that the transfers were made using compromised rollup infrastructure keys allowing an attacker to fabricate IBC transfers. Our preliminary review indicates that approximately $605,000 USDC left Initia through Noble along with $10k in other tokens before the network was paused. Most of the remaining assets moved out of the escrow accounts are still on the halted L1. We are working to determine the full scope with security teams, validators, and exchanges. We will share more details as they become available. Please remain cautious of unofficial links, messages, or claims."

— Initia (@initia) November 10, 2026 (X-bericht)

Initia belooft de backing van assets volledig te herstellen

Het project heeft beloofd de backing van aangetaste tokens volledig te herstellen, een toezegging die bijzonder zwaar weegt voor houders van gebridgede assets, nu de inbreuk vragen heeft opgeroepen over de reserves die de tokens ondersteunen die binnen het netwerk circuleren. Initia zei dat het herstelplan wordt afgerond en dat details worden gedeeld zodra deze zijn bevestigd, en het project werkt samen met de politie bij het onderzoeken van de inbreuk en het werken aan herstel van het incident.

Als voorzorgsmaatregel bouwt het team de aangetaste infrastructuur van de grond af opnieuw op in een geïsoleerde omgeving, voert het least-privilege toegangscontroles in en versterkt het de beveiliging op elke laag van de stack, van cloudinfrastructuur tot on-chain IBC-validatie. Gezien dat werk verwacht Initia dat het herstelproces langer zal duren dan een routineuze herstart van het netwerk en heeft het toegezegd tijdlijnen te publiceren zodra deze beschikbaar komen.

Het lopende onderzoek moet ook precies vaststellen hoe de Google Cloud-credential gecompromitteerd werd en of er aanvullende interne systemen of toegangsrechten zijn blootgesteld. Voor gebruikers en houders zijn de concrete mijlpalen om naar uit te kijken het afgeronde herstelplan en een bevestigde tijdlijn voor het weer online brengen van het netwerk, waarbij alle aankondigingen via de officiële kanalen van Initia verlopen.

Gebruikers gewaarschuwd voor frauduleuze terugbetaalaanbiedingen

Naast de reactie op de inbreuk zijn gebruikers geadviseerd waakzaam te blijven voor frauduleuze websites en ongevraagde herstelaanbiedingen die beweren terugbetalingen voor gestolen assets te verzorgen. Securityincidenten bieden vaak mogelijkheden voor secundaire oplichting, waarbij aanvallers getroffen investeerders benaderen via valse compensatieportals en imitatiecampagnes.

Investeerders dienen uitsluitend te vertrouwen op de officiële website van Initia en geverifieerde communicatiekanalen voor aankondigingen over het onderzoek, het herstel van assets en de herstart van het netwerk.

Het incident benadrukt het belang van het beveiligen van cloudcredentials, het versterken van administratieve toegangscontroles en het implementeren van aanvullende waarborgen voor de goedkeuring van opnames over onderling verbonden blockchainnetwerken. Totdat Initia haar onderzoek heeft afgerond en heeft bevestigd dat de aangetaste infrastructuur veilig is, dienen gebruikers voorzichtig te zijn bij interactie met het netwerk en onofficiële hersteldiensten te vermijden.

Bron: CoinTrust