Layer-1-blockchain Initia heeft binnen minder dan drie weken zijn tweede securityincident bevestigd, nadat aanvallers de controle over ongeveer 3,27 miljoen dollar aan crypto-activa verkregen. Volgens het project vloeide de nieuwste exploit voort uit gecompromitteerde cloudcredentials die ongeautoriseerde opnames mogelijk maakten van accounts met activa die via het netwerk waren gebrugd.

Initia stopte de blockchain op 10 november 2026 om verdere verliezen te voorkomen. Het team bevestigde dat ongeveer 2,16 miljoen dollar van de gecompromitteerde activa bevroren blijft op het opgeschorte netwerk, wat de mogelijkheid van de aanviller beperkt om extra gelden te verplaatsen.

Gecompromitteerde cloudcredentials maakten de inbreuk mogelijk

Uit Initia's onderzoek bleek dat de aanvaller op 9 november ongeautoriseerde toegang tot de infrastructuur verkreeg via een gecompromitteerde Google Cloud Platform (GCP)-sleutel. Met behulp van een command injection-kwetsbaarheid stelde de indringer gevoelige omgevingsvariabelen bloot en vergaarde hij extra credentials.

Die credentials gaven toegang tot Initia's GitHub- en cloudaccounts voordat de aanvaller Anvil bereikte, het platform dat Initia's rollups host. Vervolgens vervalste de aanvaller Inter-Blockchain Communication (IBC)-opnames over vijf rollups, waarmee activa in de escrow-accounts van de blockchain werden vrijgegeven, zoals gedocumenteerd in een Binance Square-post.

In totaal werd ongeveer 3,27 miljoen dollar overgemaakt naar een adres op Initia's netwerk. De stillegging van de blockchain voorkwam echter dat ongeveer 2,16 miljoen dollar van die activa werd verplaatst, waardoor circa 1,11 miljoen dollar van het overgemaakte bedrag buiten het bevroren deel viel.

Tweede aanval binnen enkele weken

Het incident volgt op een exploit op 23 oktober die ongeveer 2,7 miljoen dollar aan crypto-verliezen veroorzaakte. Die eerdere aanval richtte zich op een kwetsbaarheid in Initia's MoveVM-implementatie, waardoor ongeautoriseerde tokensaldi konden worden aangemaakt en overgedragen. Initia schortte na het incident in oktober tijdelijk de activiteiten op en herstelde op 2 november de netwerkactiviteit, om acht dagen later opnieuw een aanzienlijke inbreuk te ondervinden.

De twee incidenten volgden verschillende scenario's: de aanval in oktober richtte zich op een fout in Initia's on-chain MoveVM-code, terwijl de nieuwste begon met een gecompromitteerde cloudsleutel — een herinnering dat het beheer van infrastructuurcredentials een ander aanvalsoppervlak vormt dan de beveiliging van smart contracts, en één dat met codefixes alleen niet wordt aangepakt.

Bij de nieuwste aanval trok de exploitant ongeveer 13.400 TIA-tokens, 8.000 USDC.inj en 597.000 Noble USDC op. Initia bevestigde dat er geen native INIT-tokens zijn meegenomen, wat betekent dat de verliezen vielen op gebrugde activa in de escrow-accounts van het netwerk in plaats van op het eigen token.

Herstelplannen en infrastructuurherziening

Initia gaf aan de reserves die de getroffen activa dekken volledig te willen herstellen, terwijl de herstelinspanningen in samenwerking met securityspecialisten en de politie worden voortgezet. Het project heeft nog geen specifieke tijdlijn bekendgemaakt voor het afronden van het proces.

Het ontwikkelteam herbouwt de gecompromitteerde infrastructuur in een geïsoleerde omgeving en versterkt de toegangscontroles. Daarnaast zijn er plannen om de verificatiemechanismen voor cross-chain-transacties te verbeteren om het risico op vergelijkbare aanvallen te verkleinen. Hierdoor duurt de herstart van het netwerk langer dan een routineherstel. Tot die tijd blijven de bevroren fondsen vergrendeld op de opgeschorte chain, en de tijdlijn van de herstart, het tempo van het aanvullen van de reserves en eventuele geldbewegingen vanaf het adres van de aanvaller zijn de belangrijkste ontwikkelingen om in de gaten te houden.

De opeenvolgende exploits onderstrepen de risico's van gecompromitteerde infrastructuurcredentials en het beheer van cross-chain-activa — risico's die verder reiken dan Initia zelf, aangezien cloudgebaseerde infrastructuur en bridge-escrow-accounts veelvoorkomende bouwstenen zijn in multi-chain-ecosystemen.