Blockchain pierwszej warstwy Initia potwierdził drugie naruszenie bezpieczeństwa w ciągu niecałych trzech tygodni, w wyniku którego atakujący przejęli kontrolę nad około 3,27 mln dolarów w aktywach kryptowalutowych. Zdaniem projektu najnowszy eksploit wynikał z przejętych danych dostępowych do chmury, które umożliwiły nieuprawnione wypłaty z kont przechowujących aktywa mostowane w sieci.

Initia zatrzymała swój blockchain 10 listopada 2026 roku, aby zapobiec dalszym stratom. Zespół potwierdził, że około 2,16 mln dolarów skompromitowanych aktywów pozostaje zamrożonych na wstrzymanej sieci, co ogranicza możliwość przemieszczania kolejnych środków przez atakującego.

Przejęte dane dostępowe do chmury umożliwiły włamanie

Z dochodzenia Initii wynika, że atakujący uzyskał nieuprawniony dostęp do infrastruktury 9 listopada poprzez przejęty klucz Google Cloud Platform (GCP). Wykorzystując podatność umożliwiającą wstrzykiwanie poleceń, intruz ujawnił wrażliwe zmienne środowiskowe i pozyskał kolejne dane dostępowe.

Dane te zapewniły dostęp do kont GitHub i chmury Initii, zanim atakujący dotarł do Anvil, platformy hostingującej rollupy Initii. Następnie sfałszował wypłaty Inter-Blockchain Communication (IBC) w pięciu rollupach, odblokowując aktywa przechowywane na kontach escrow blockchaina, co udokumentowano w poście na Binance Square.

Łącznie około 3,27 mln dolarów przetransferowano na adres w sieci Initia. Zatrzymanie blockchaina zapobiegło jednak przemieszczeniu około 2,16 mln dolarów z tych aktywów, co oznacza, że około 1,11 mln dolarów z przetransferowanej kwoty pozostało poza zamrożoną sumą.

Drugi atak w ciągu kilku tygodni

Incydent nastąpił po eksploicie z 23 października, który spowodował straty w kryptowalutach rzędu około 2,7 mln dolarów. Tamten atak wykorzystywał podatność w implementacji MoveVM Initii, umożliwiającą utworzenie i przetransferowanie nieuprawnionych sald tokenów. Initia tymczasowo wstrzymała działania po incydencie z października i przywróciła aktywność sieci 2 listopada, by osiem dni później doświadczyć kolejnego poważnego naruszenia.

Oba incydenty przebiegły według różnych scenariuszy: październikowy atak wykorzystywał błąd w kodzie MoveVM działającym on-chain, podczas gdy najnowsze włamanie zaczęło się od przejętego klucza do chmury — przypomnienie, że zarządzanie danymi dostępowymi do infrastruktury to inna płaszczyzna ataków niż bezpieczeństwo smart kontraktów, której same poprawki na poziomie kodu nie rozwiązują.

Podczas najnowszego ataku sprawca wypłacił około 13 400 tokenów TIA, 8000 USDC.inj oraz 597 000 Noble USDC. Initia potwierdziła, że nie pobrano żadnych natywnych tokenów INIT, co oznacza, że straty poniosły mostowane aktywa przechowywane na kontach escrow sieci, a nie jej własny token.

Plany odzyskiwania i przebudowa infrastruktury

Initia oświadczyła, że zamierza w pełni odtworzyć rezerwy zabezpieczające dotknięte aktywa, kontynuując działania odzyskowe we współpracy ze specjalistami ds. bezpieczeństwa i organami ścigania. Projekt nie ogłosił konkretnego terminu zakończenia tego procesu.

Zespół deweloperski przebudowuje skompromitowaną infrastrukturę w środowisku izolowanym oraz wzmacnia kontrolę dostępu. Planuje również poprawę mechanizmów weryfikacji transakcji międzyłańcuchowych, aby zmniejszyć ryzyko podobnych ataków. W związku z tym restart sieci potrwa dłużej niż rutynowe odzyskiwanie. Do tego czasu zamrożone środki pozostają zablokowane na wstrzymanym łańcuchu, a kluczowymi kwestiami do obserwacji są termin restartu, tempo uzupełniania rezerw oraz ewentualne przemieszczanie środków z adresu atakującego.

Kolejne po sobie eksploity podkreślają ryzyka związane ze skompromitowanymi danymi dostępowymi do infrastruktury oraz zarządzaniem aktywami międzyłańcuchowymi — ryzyka wykraczające poza samą Initię, ponieważ infrastruktura zarządzana przez chmurę i konta escrow mostów to powszechne elementy ekosystemów wielołańcuchowych.