Initia bliver hacket igen: 3,27 mio. dollar overført mindre end tre uger efter det første angreb

Initia er nu blevet ramt to gange på under tre uger. Første gang skyldtes problemet en fejl i virksomhedens virtuelle maskine. Denne gang rørte angriberen slet ikke ved den virtuelle maskine, men fik i stedet adgang via en cloud-nøgle.

Det Binance Labs-støttede layer-1-netværk, der er bygget op omkring et netværk af sammenkoblede rollups, bekræftede onsdag, at en angriber flyttede aktiver til en værdi af ca. 3,27 millioner dollars ud af sine deponeringskonti, rapporterede Cointelegraph. Cirka 2,16 millioner dollars af dette beløb sidder stadig fast på blokkæden, som har været standset siden tirsdag.

Sådan kom angriberen ind

Ifølge Initias egen analyse på X begyndte indtrængningen mandag den 9. november. Angriberen benyttede et kommandoinjektionsangreb sammen med en kompromitteret Google Cloud Platform-nøgle. ChainCatcher, der henviser til den samme opdatering, siger, at det var en nøgle, der blev brugt til at konfigurere private noder. Indbruddet afslørede miljøvariabler, og disse gav adgang til Initias GitHub- og cloud-konti samt yderligere loginoplysninger.

Næste stop var Anvil, den platform, der hoster Initias rollups. Derfra godkendte angriberen falske IBC-udbetalinger fra fem rollups, og hver enkelt frigav aktiver, der var opbevaret på L1's deponeringskonti. Initias første udtalelse tirsdag beskrev det som kompromitterede rollup-infrastrukturnøgler, der gjorde det muligt for en angriber at forfalske IBC-overførsler, ifølge Protos.

Hackeren solgte derefter på Initias egen DEX og hævede 13.400 TIA, 8.000 USDC.inj og 597.000 Noble USDC. Der forlod ingen INIT kæden. Initia oplyser, at selskabet planlægger at genoprette dækningen af de berørte aktiver, og at genopretningsarbejdet er i gang i samarbejde med retshåndhævende myndigheder og sikkerhedspartnere.

Hvilket tal er det rigtige?

Det afhænger af, hvilken dag du læser det. Tirsdagens opdatering angav, at der var flyttet 615.000 $ ud af kæden – ca. 605.000 $ i USDC og 10.000 $ i andre tokens – og oplyste, at det meste af det, der forlod escrow, stadig befandt sig på Initia. Onsdagens opdatering udvidede tallet til 3,27 millioner dollars, der var flyttet til angriberens adresse på L1, hvoraf 2,16 millioner dollars var indefrosset. De ovenfor anførte udtrukne tokens stemmer stort set overens med tirsdagens opgørelse, så de to tal ser ud til at måle forskellige ting: hvad der slap ud af kæden kontra alt, hvad angriberen rørte ved.

Det samlede beløb er lige så svært at fastslå. Protos lagde tirsdagens 615.000 dollar sammen med oktober måneds 2,7 millioner dollar og nåede frem til omkring 3,3 millioner dollar. Hvis man i stedet lægger de nye 3,27 millioner dollar til, får man cirka 5,97 millioner dollar for begge hændelser, som FinanceFeeds gjorde. Initia har ikke offentliggjort en endelig opgørelse for nogen af dem.

Den første udnyttelse, tre uger tidligere

Den 23. oktober standsede Initia sin L1 og sine rollups kl. 15:41 UTC. Sikkerhedsforskeren Spreek var den første til at påpege udnyttelsen og rapporterede om uautoriseret udstedelse af tokens. D2 Finance kortlagde derefter skaden: 2 millioner AUSD uden dækning, hvoraf ca. 1,4 millioner AUSD, 105 ETH og 1,08 millioner USDC blev overført til Ethereum og samlet i en tegnebog, der indeholdt omkring 1.135,5 ETH, til en værdi af 2,73 millioner dollar på det tidspunkt.

Initias opdatering fra den 24. oktober pegede på en fejl i script-caching i MoveVM, der gjorde det muligt for angriberen at forfalske kædens tilstand og tilskrive sig selv WETH, iUSD og USDC uden dækning. Netværket kom tilbage den 2. november. Det varede i otte dage.

Reaktion

Brugerne var ikke blide. Ifølge Protos opfordrede én konto kæden til at lukke ned, mens en anden beskyldte teamet for at stå bag angrebet. Jeg kunne ikke finde noget offentliggjort, der understøtter påstanden om, at det var et insiderangreb, så betragt det som en beskyldning og intet mere.

Det mærkeligste er grafen. INIT steg med omkring 60% i løbet af de 24 timer efter nedlukningen, ifølge Protos og crypto.news, på en kæde, hvor intet kunne flyttes. En bruger på X mistænkte en »crime pump«. Protos bemærker også, at Initias TVL, ifølge DefiLlama, er faldet med mere end 90% fra sit højdepunkt efter lanceringen i maj 2025, og at tabene fra de to hændelser nu overstiger det, der er tilbage på kæden.

Det, jeg hele tiden vender tilbage til

De to angreb har ingen teknisk overlapning. I oktober blev eksekveringslaget ramt. I november blev cloud-kontoen bagved ramt. Initias koncept er app-specifikke kæder forbundet via IBC, og det design skaber mange steder, hvor tilliden skal holde. FinanceFeeds påpeger, at én kompromitteret cloud-nøgle var nok til at krydse flere af disse grænser på én gang.

Det er også min opfattelse, og det er ubehageligt. En rettelse af en VM-fejl, selv en revideret en, gør intet ved en lækket adgangskode, der kan godkende udbetalinger fra fem rollups. Teamet brugte ti dage på at lappe det første problem og opnåede otte dages oppetid, før det andet problem ramte dem.

Initia oplyser, at de vil genopbygge den berørte infrastruktur i et isoleret miljø, og at genstarten vil tage længere tid end en normal genstart. Pr. onsdag er der ingen dato for genstart. Indtil der er en, sker der intet på L1 eller dens rollups, herunder de 2,16 millioner dollars, der ligger fastfrosne.