Blockchain Initia warstwy pierwszej padł ofiarą drugiego naruszenia bezpieczeństwa w ciągu niecałych trzech tygodni, gdy atakujący wykorzystał przejęty klucz Google Cloud, aby uzyskać dostęp do systemów wewnętrznych i zatwierdzić sfałszowane transfery z pięciu rollupów. Skradziono około 3,27 mln dolarów w aktywach cyfrowych, co wzmogło obawy o infrastrukturę bezpieczeństwa sieci i ochronę aktywów mostowanych w jej ekosystemie.

Łańcuch ataku: od przejętego klucza GCP do sfałszowanych transferów

Zgodnie z relacją Initii włamanie rozpoczęło się 9 listopada, gdy atakujący uzyskał nieautoryzowany dostęp do infrastruktury projektu w wyniku ataku polegającego na wstrzyknięciu poleceń, wykorzystującego przejęty klucz Google Cloud Platform (GCP) służący do obsługi prywatnych węzłów. Naruszenie ujawniło zmienne środowiskowe, co z kolei dało atakującemu dostęp do kont Initii na GitHubie i GCP oraz do przechowywanych w nich dalszych poświadczeń.

Z tymi poświadczeniami atakujący dotarł do Anvil, platformy hostingowej używanej przez rollupy wdrożone w Initii. Stamtąd mógł zatwierdzać sfałszowane transfery IBC (Inter-Blockchain Communication) z pięciu rollupów, odblokowując aktywa przechowywane w kontach escrow IBC L1 Initii. IBC to protokół interoperacyjności przenoszący tokeny między rollupami Initii, jej L1 i sieciami zewnętrznymi, takimi jak Noble, co uczyniło konta escrow L1 wspólnym wąskim gardłem dla aktywów mostowanych ze wszystkich pięciu rollupów.

Około 3,27 mln dolarów aktywów przeniesiono na adres kontrolowany przez atakującego w sieci L1 Initii, z czego około 2,16 mln dolarów nadal znajduje się na wstrzymanym łańcuchu, skąd nie może być przeniesione. Atakujący sprzedał skradzione aktywa na zdecentralizowanej giełdzie Initii, a następnie wypłacił 13,4 tys. TIA — natywnego tokena sieci dostępności danych Celestia — 8 tys. USDC.inj oraz 597 tys. Noble USDC, czyli USD Coin emitowanego w łańcuchu Noble. Te wypływy osiągnęły limity wychodzących transferów IBC Initii — mechanizmy zaprojektowane tak, aby ograniczać ilość wartości opuszczającej łańcuch przez IBC w danym okresie. Żadne tokeny INIT, natywne dla sieci, nie zostały wypłacone przez atakującego.

Skradzione środki składały się głównie z mostowanych aktywów cyfrowych, w tym USD Coin (USDC) i TIA, co wskazuje, że atak wymierzył w aktywa przenoszone przez sieć, a nie w natywny token. Zdarzenie podkreśla ryzyko związane z uprzywilejowanymi poświadczeniami i infrastrukturą zarządzającą przekazywaniem aktywów między łańcuchami: choć transakcje blockchain są co do zasady chronione weryfikacją kryptograficzną, słabości systemów dostępu administracyjnego mogą stwarzać atakującym możliwości manipulowania procesem zatwierdzania transakcji.

Initia szczegółowo opisała ustalenia w oświadczeniu opublikowanym na X:

„W świetle dotychczasowych ustaleń śledztwa 9 listopada atakujący uzyskał nieautoryzowany dostęp do infrastruktury Initii w wyniku ataku polegającego na wstrzyknięciu poleceń, z użyciem przejętego klucza GCP służącego do obsługi prywatnych węzłów. Doprowadziło to do ujawnienia zmiennych środowiskowych, co pozwoliło atakującemu uzyskać dostęp do naszych kont GitHub i GCP oraz pozyskać dalsze poświadczenia. Z tymi poświadczeniami atakujący uzyskał dostęp do Anvil, platformy hostingowej używanej przez rollupy w Initii. W jej ramach mógł zatwierdzać sfałszowane transfery IBC z pięciu rollupów, odblokowując aktywa przechowywane w kontach escrow IBC L1 Initii. Około 3,27 mln dolarów aktywów przeniesiono na adres atakującego w L1 Initii, przy czym 2,16 mln dolarów skradzionych środków nadal znajduje się na wstrzymanym L1, skąd nie może być przeniesione. Atakujący sprzedał skradzione aktywa na DEX Initii, a następnie wypłacił 13,4 tys. TIA, 8 tys. USDC.inj oraz 597 tys. Noble USDC, osiągając limity wychodzących transferów IBC Initii. Żadne tokeny INIT nie zostały wypłacone z Initii przez atakującego. Zamierzamy w pełni przywrócić pokrycie dotkniętych aktywów. Kończymy plan i podzielimy się szczegółami po jego zatwierdzeniu. Ze względów ostrożności odbudowujemy dotkniętą infrastrukturę od zera w środowisku izolowanym, wdrażamy kontrole dostępu o najniższych niezbędnych uprawnieniach i wzmacniamy bezpieczeństwo na każdej warstwie stosu — od infrastruktury chmurowej po walidację IBC on-chain. W związku z powyższym spodziewamy się, że ten proces potrwa dłużej niż rutynowy restart sieci. Będziemy udostępniać harmonogramy w miarę ich ustalania. Wszystkie komunikaty będą publikowane w oficjalnych kanałach Initii. Dziękujemy za cierpliwość.”

— Initia (@initia) 10 listopada 2026 (post na X)

Sieć zatrzymana o 06:18 UTC, zamrożono 2,16 mln dolarów

Initia zatrzymała L1 10 listopada o 06:18 UTC, w koordynacji z walidatorami, jako środek ostrożności po wykryciu nieautoryzowanych transferów z kont escrow przechowujących aktywa mostowane do kilku rollupów. Wstrzymanie zatrzymało aktywność on-chain, uniemożliwiając użytkownikom wykonywanie transakcji, podczas gdy zespół bada incydent i zabezpiecza dotkniętą infrastrukturę.

Zgodnie ze wstępnym przeglądem firmy około 605 tys. USDC opuściło Initię przez Noble, wraz z 10 tys. dolarów w innych tokenach, przed wstrzymaniem sieci. Większość pozostałych aktywów przeniesionych z kont escrow nadal znajduje się na zatrzymanym łańcuchu.

Zatrzymanie stanowi ważny środek powstrzymania incydentu, ograniczając możliwość dodatkowych transferów, podczas gdy deweloperzy badają naruszone systemy. Przerwa wpływa jednak również na legalnych użytkowników zależnych od sieci przy transferach i innych operacjach blockchain. Initia nie podała potwierdzonego harmonogramu ponownego uruchomienia sieci, co sugeruje, że zespół priorytetowo traktuje ocenę bezpieczeństwa i środki naprawcze przed przywróceniem normalnych operacji.

W swoim pierwszym publicznym oświadczeniu Initia poinformowała:

„L1 Initii zostało zatrzymane 10 listopada o 06:18 UTC, w koordynacji z walidatorami, jako środek ostrożności. Podjęliśmy ten krok po wykryciu nieautoryzowanych transferów z kont escrow na L1 Initii, przechowujących aktywa mostowane do kilku rollupów. Nasze dotychczasowe ustalenia wskazują, że transfery wykonano z użyciem przejętych kluczy infrastruktury rollupów, co pozwoliło atakującemu sfałszować transfery IBC. Wstępny przegląd wskazuje, że około 605 tys. USDC opuściło Initię przez Noble wraz z 10 tys. dolarów w innych tokenach przed wstrzymaniem sieci. Większość pozostałych aktywów przeniesionych z kont escrow nadal znajduje się na zatrzymanym L1. Pracujemy nad ustaleniem pełnego zakresu wraz z zespołami ds. bezpieczeństwa, walidatorami i giełdami. Będziemy udostępniać więcej szczegółów w miarę ich dostępności. Prosimy o ostrożność wobec nieoficjalnych linków, wiadomości i twierdzeń.”

— Initia (@initia) 10 listopada 2026 (post na X)

Initia zobowiązuje się w pełni przywrócić pokrycie aktywów

Projekt zobowiązał się w pełni przywrócić pokrycie dotkniętych tokenów — zobowiązanie o szczególnej wadze dla posiadaczy aktywów mostowanych, ponieważ naruszenie wzbudziło pytania o rezerwy zabezpieczające tokeny krążące w sieci. Initia poinformowała, że finalizuje plan odtworzenia i przekaże szczegóły po jego zatwierdzeniu, a także współpracuje z organami ścigania w ramach śledztwa i prac nad naprawą skutków incydentu.

Ze względów ostrożności zespół odbudowuje dotkniętą infrastrukturę od zera w środowisku izolowanym, wdraża kontrole dostępu o najniższych niezbędnych uprawnieniach i wzmacnia bezpieczeństwo na każdej warstwie stosu — od infrastruktury chmurowej po walidację IBC on-chain. W związku z tym Initia oczekuje, że proces naprawy potrwa dłużej niż rutynowy restart sieci, i zobowiązała się publikować harmonogramy w miarę ich ustalania.

Trwające śledztwo będzie również musiało ustalić, w jaki sposób dokładnie doszło do przejęcia poświadczeń Google Cloud oraz czy inne systemy wewnętrzne lub uprawnienia dostępu zostały naruszone. Dla użytkowników i posiadaczy konkretne punkty do obserwacji to sfinalizowany plan odtworzenia oraz potwierdzony harmonogram przywrócenia działania sieci, przy czym wszystkie komunikaty będą przekazywane wyłącznie oficjalnymi kanałami Initii.

Ostrzeżenie przed fałszywymi ofertami zwrotów

Równolegle z reakcją na naruszenie użytkownikom zalecono ostrożność wobec fałszywych stron internetowych i niezamówionych ofert odzyskiwania środków, które rzekomo mają zapewnić zwrot skradzionych aktywów. Incydenty bezpieczeństwa często stwarzają okazje do wtórnych oszustw, w których atakujący celują w dotkniętych inwestorów za pośrednictwem fałszywych portali odszkodowawczych i kampanii podszywania się.

Inwestorzy powinni polegać wyłącznie na oficjalnej stronie Initii i zweryfikowanych kanałach komunikacji w sprawach dotyczących śledztwa, odtworzenia aktywów i ponownego uruchomienia sieci.

Incydent podkreśla znaczenie zabezpieczania poświadczeń chmurowych, wzmacniania kontroli dostępu administracyjnego oraz wdrażania dodatkowych zabezpieczeń przy zatwierdzaniu transferów w połączonych sieciach blockchain. Dopóki Initia nie zakończy śledztwa i nie potwierdzi, że dotknięta infrastruktura jest bezpieczna, użytkownicy powinni zachować ostrożność przy korzystaniu z sieci i unikać nieoficjalnych usług odzyskiwania środków.

Źródło: CoinTrust