Initia utsätts för nytt hackerangrepp: 3,27 miljoner dollar förskingrades mindre än tre veckor efter det första angreppet

Initia har nu drabbats två gånger på mindre än tre veckor. Första gången berodde problemet på ett fel i företagets virtuella maskin. Den här gången rörde angriparen aldrig den virtuella maskinen utan tog sig istället in via en molnnyckel.

Det av Binance Labs stödda layer-1-nätverket, som bygger på ett nätverk av sammankopplade rollups, bekräftade på onsdagen att en angripare flyttade tillgångar värda cirka 3,27 miljoner dollar från sina deponeringskonton, rapporterade Cointelegraph. Cirka 2,16 miljoner dollar av detta belopp sitter fortfarande fast i blockkedjan, som har varit avstängd sedan tisdagen.

Hur angriparen tog sig in

Enligt Initias egen analys på X inleddes intrånget måndagen den 9 november. Angriparen använde en kommandoinjektionsattack tillsammans med en komprometterad nyckel till Google Cloud Platform. ChainCatcher, som hänvisar till samma uppdatering, uppger att det rörde sig om en nyckel som användes för att konfigurera privata noder. Intrånget exponerade miljövariabler, vilket gav tillgång till Initias GitHub- och molnkonton samt ytterligare inloggningsuppgifter.

Nästa stopp var Anvil, plattformen som är värd för Initias rollups. Därifrån validerade angriparen bedrägliga IBC-uttag från fem rollups, och var och en av dem frigjorde tillgångar som förvarades på L1:s deponeringskonton. Initias första uttalande på tisdagen beskrev det som komprometterade nycklar till rollup-infrastrukturen som gjorde det möjligt för en angripare att fabricera IBC-överföringar, enligt Protos.

Angriparen sålde sedan på Initias egen DEX och tog ut 13 400 TIA, 8 000 USDC.inj och 597 000 Noble USDC. Inga INIT lämnade kedjan. Initia uppger att man planerar att återställa säkerheten för de drabbade tillgångarna, och att återställningsarbetet pågår i samarbete med brottsbekämpande myndigheter och säkerhetspartner.

Vilket belopp stämmer?

Det beror på vilken dag du läser det. I tisdagens inlägg om avbrottet uppgavs att 615 000 dollar hade lämnat kedjan, cirka 605 000 dollar i USDC och 10 000 dollar i andra tokens, och att det mesta av det som lämnat depåkontot fortfarande fanns kvar på Initia. Onsdagens uppdatering utökade siffran till 3,27 miljoner dollar som flyttats till angriparens adress på L1, varav 2,16 miljoner dollar var frysta. De uttagna tokens som listas ovan stämmer ungefär överens med tisdagens sammanräkning, så de två siffrorna verkar mäta olika saker: vad som undkom kedjan jämfört med allt som angriparen rörde vid.

Den sammanlagda summan är lika svår att fastställa. Protos lade till tisdagens 615 000 dollar till oktobers 2,7 miljoner dollar och fick fram cirka 3,3 miljoner dollar. Om man istället lägger till de nya 3,27 miljoner dollar blir summan ungefär 5,97 miljoner dollar för båda incidenterna, vilket FinanceFeeds gjorde. Initia har inte publicerat någon slutgiltig redovisning för någon av dem.

Den första säkerhetsluckan, tre veckor tidigare

Den 23 oktober stoppade Initia sin L1 och sina rollups kl. 15:41 UTC. Säkerhetsforskaren Spreek uppmärksammade utnyttjandet först och rapporterade obehörig tokenutgivning. D2 Finance spårade sedan skadan: 2 miljoner AUSD utan täckning, varav cirka 1,4 miljoner AUSD, 105 ETH och 1,08 miljoner USDC överfördes till Ethereum och samlades i en plånbok som innehöll cirka 1 135,5 ETH, värda 2,73 miljoner dollar vid den tidpunkten.

I Initias uppdatering den 24 oktober angavs att orsaken var en bugg i skriptcachningen i MoveVM som gjorde det möjligt för angriparen att förfalska kedjans tillstånd och tillskriva sig själv WETH, iUSD och USDC utan täckning. Nätverket återupptog driften den 2 november. Avbrottet varade i åtta dagar.

Reaktion

Användarna var inte snälla. Enligt Protos uppmanade ett konto kedjan att stängas ner, och ett annat anklagade teamet för ett insiderjobb. Jag kunde inte hitta något publicerat som stöder påståendet om ett insiderjobb, så betrakta det som en anklagelse och inget mer.

Det märkligaste är diagrammet. INIT steg med cirka 60% under de 24 timmarna efter avbrottet, enligt Protos och crypto.news, på en kedja där ingenting kunde flyttas. En användare på X misstänkte en ”crime pump”. Protos noterar också att Initias TVL, enligt DefiLlama, har sjunkit med mer än 90% från sin topp efter lanseringen i maj 2025, och att förlusterna från de två incidenterna nu överstiger vad som finns kvar på kedjan.

Det jag hela tiden återkommer till

De två säkerhetsbristerna har inga tekniska överlappningar. I oktober drabbades exekveringslagret. I november drabbades molnkontot bakom det. Initias koncept bygger på appspecifika kedjor som är sammankopplade via IBC, och den designen skapar många ställen där förtroende måste hålla. FinanceFeeds påpekar att en enda komprometterad molnnyckel räckte för att korsa flera av dessa gränser på en gång.

Det är min tolkning också, och det är obehagligt. En korrigering av en VM-bugg, även en som granskats, gör ingenting åt en läckt inloggningsuppgift som kan godkänna uttag från fem rollups. Teamet ägnade tio dagar åt att åtgärda det första problemet och fick åtta dagars drifttid innan det andra problemet upptäcktes.

Initia säger att man kommer att återuppbygga den drabbade infrastrukturen i en isolerad miljö och att omstarten kommer att ta längre tid än en vanlig omstart. Per onsdag finns det inget datum för omstarten. Tills dess händer ingenting på L1 eller dess rollups, inklusive de 2,16 miljoner dollar som ligger frysta.