Блокчейн первого уровня Initia пострадал от второй утечки безопасности менее чем за три недели: злоумышленник использовал скомпрометированный ключ Google Cloud, чтобы получить доступ к внутренним системам и санкционировать поддельные выводы средств с пяти роллапов. Было украдено примерно 3,27 млн долларов в цифровых активах, что усилило опасения по поводу инфраструктуры безопасности сети и защиты активов, переводимых через её экосистему.

Цепочка атаки: от скомпрометированного ключа GCP до поддельных выводов

По версии самой Initia, вторжение началось 9 ноября, когда злоумышленник получил несанкционированный доступ к инфраструктуре проекта посредством command injection-атаки с использованием скомпрометированного ключа Google Cloud Platform (GCP), применявшегося для развёртывания приватных нод. Утечка обнажила переменные окружения, что, в свою очередь, дало злоумышленнику доступ к аккаунтам Initia на GitHub и GCP и к хранившимся в них дополнительным учётным данным.

С этими учётными данными злоумышленник добрался до Anvil — хостинг-платформы, используемой роллапами, развёрнутыми на Initia. Оттуда он смог подтвердить поддельные выводы Inter-Blockchain Communication (IBC) с пяти роллапов, разблокировав активы, находившиеся в IBC-эскроу-аккаунтах Initia L1. IBC — это протокол совместимости, перемещающий токены между роллапами Initia, её L1 и внешними сетями, такими как Noble, что сделало эскроу-аккаунты L1 общей точкой концентрации активов, переведённых с пяти роллапов.

Около 3,27 млн долларов активов были переведены на адрес, контролируемый злоумышленником, в сети Initia L1, из которых примерно 2,16 млн долларов остаются на приостановленной цепочке, где их невозможно переместить. Злоумышленник продал украденные активы на децентрализованной бирже Initia, а затем вывел 13,4 тыс. TIA — нативного токена сети доступности данных Celestia — 8 тыс. USDC.inj и 597 тыс. Noble USDC (USD Coin, выпущенный в сети Noble). Эти выводы достигли исходящих лимитов IBC сети Initia — механизмов, ограничивающих объём стоимости, который может покинуть цепочку через IBC за определённый период. Нативный токен сети INIT выведен злоумышленником не был.

Украденные средства состояли преимущественно из мостовых цифровых активов, включая USD Coin (USDC) и TIA, что указывает: атака была направлена на активы, перемещаемые по сети, а не на нативный токен. Инцидент подчёркивает риски, связанные с привилегированными учётными данными и инфраструктурой управления межцепочечными переводами: хотя блокчейн-транзакции обычно защищены криптографической верификацией, уязвимости в системах административного доступа могут открывать злоумышленникам возможность манипулировать процессами одобрения транзакций.

Свои выводы Initia подробно изложила в заявлении, опубликованном в X:

"Based on our investigation so far, on November 9th an attacker gained unauthorized access to Initia's infrastructure through a command injection attack with a compromised GCP key used for provisioning private nodes. This exposed environment variables, which allowed the attacker to access our GitHub and GCP accounts and obtain further credentials. With these credentials the attacker gained access to Anvil, the hosting platform used by rollups on Initia. Through this the attacker was able to validate forged IBC withdrawals from five rollups, unlocking assets held by the Initia L1's IBC escrow accounts. Around $3.27m of assets were moved to the attacker's Initia L1 address with $2.16m of the stolen funds remaining on the paused L1 where they cannot be moved. The attacker sold stolen assets on the Initia DEX and then withdrew 13.4k TIA, 8k USDC.inj, and 597k Noble USDC reaching Initia's outbound IBC rate limits. No INIT was withdrawn from Initia by the attacker. We intend to restore the backing of affected assets in full. We are finalizing the plan and will share the details once it is confirmed. As a precaution, we are rebuilding the affected infrastructure from scratch in an isolated environment, enforcing least-privilege access controls, and hardening security at every layer of the stack from cloud infrastructure to onchain IBC validation. Given the above, we expect this process to be longer than a routine network restart. We will share timelines as they become available. All announcements will be made through Initia's official channels. Thank you for your patience."

— Initia (@initia) November 10, 2026 (пост в X)

Сеть остановлена в 06:18 UTC, заморожено 2,16 млн долларов

Initia в координации с валидаторами остановила Initia L1 в 06:18 UTC 10 ноября в качестве защитной меры после выявления несанкционированных переводов из эскроу-аккаунтов, где хранятся активы, переведённые на несколько роллапов. Приостановка остановила активность в цепочке: пользователи не могут совершать транзакции, пока команда расследует инцидент и работает над защитой затронутой инфраструктуры.

По данным предварительного обзора компании, примерно 605 000 USDC покинули Initia через Noble вместе с 10 тыс. долларов в других токенах до приостановки сети. Большая часть остальных активов, выведенных из эскроу-аккаунтов, по-прежнему находится на остановленной цепочке.

Остановка служит важной сдерживающей мерой, ограничивая возможность дополнительных выводов, пока разработчики изучают скомпрометированные системы. Однако приостановка затрагивает и добросовестных пользователей, зависящих от сети для переводов и других блокчейн-операций. Initia не представила подтверждённых сроков перезапуска сети, что говорит о том, что команда приоритизирует оценку безопасности и меры восстановления перед возвращением к штатной работе.

В первом публичном заявлении Initia сообщила:

"The Initia L1 was halted at 06:18 UTC on November 10 in coordination with validators as a protective measure. We took this step after identifying unauthorized transfers from the escrow accounts on the Initia L1 that hold assets bridged to several rollups. Our investigation so far indicates that the transfers were made using compromised rollup infrastructure keys allowing an attacker to fabricate IBC transfers. Our preliminary review indicates that approximately $605,000 USDC left Initia through Noble along with $10k in other tokens before the network was paused. Most of the remaining assets moved out of the escrow accounts are still on the halted L1. We are working to determine the full scope with security teams, validators, and exchanges. We will share more details as they become available. Please remain cautious of unofficial links, messages, or claims."

— Initia (@initia) November 10, 2026 (пост в X)

Initia обязуется полностью восстановить обеспечение активов

Проект пообещал полностью восстановить обеспечение затронутых токенов — обязательство, особенно важное для держателей мостовых активов, поскольку утечка вызвала вопросы о резервах, обеспечивающих токены в обращении по сети. Initia сообщила, что завершает работу над планом восстановления и поделится деталями после его подтверждения, а также координирует действия с правоохранительными органами, расследуя утечку и работая над восстановлением после инцидента.

В качестве меры предосторожности команда заново разворачивает затронутую инфраструктуру с нуля в изолированной среде, внедряет принцип наименьших привилегий в управлении доступом и усиливает безопасность на каждом уровне стека — от облачной инфраструктуры до валидации IBC на цепочке. С учётом этой работы Initia ожидает, что процесс восстановления займёт больше времени, чем обычный перезапуск сети, и обязуется публиковать сроки по мере их появления.

Продолжающееся расследование должно также точно установить, каким образом был скомпрометирован ключ Google Cloud и были ли затронуты дополнительные внутренние системы или права доступа. Для пользователей и держателей ключевыми ориентирами являются финализированный план восстановления и подтверждённые сроки возвращения сети в строй; все объявления будут публиковаться через официальные каналы Initia.

Пользователей предупреждают о мошеннических предложениях возврата средств

Параллельно с реагированием на инцидент пользователей предупредили о необходимости соблюдать осторожность в отношении мошеннических сайтов и нежелательных предложений «возврата» украденных активов. Инциденты безопасности нередко открывают возможности для вторичных мошенничеств: злоумышленники атакуют пострадавших инвесторов через фальшивые порталы компенсаций и кампании имперсонации.

Инвесторам следует полагаться исключительно на официальный сайт Initia и верифицированные каналы связи для получения объявлений о расследовании, восстановлении активов и перезапуске сети.

Инцидент подчёркивает важность защиты облачных учётных данных, усиления контроля административного доступа и внедрения дополнительных механизмов одобрения выводов в связанных блокчейн-сетях. Пока Initia не завершит расследование и не подтвердит безопасность затронутой инфраструктуры, пользователям следует проявлять осторожность при взаимодействии с сетью и избегать неофициальных сервисов восстановления.

Источник: CoinTrust