Initia ponownie padła ofiarą ataku hakerskiego: w niecałe trzy tygodnie po pierwszym ataku wykradziono 3,27 mln dolarów

Initia padła ofiarą ataku już po raz drugi w ciągu niecałych trzech tygodni. Za pierwszym razem przyczyną był błąd w jej maszynie wirtualnej. Tym razem atakujący nie dotknął maszyny wirtualnej, a zamiast tego przedostał się do systemu za pomocą klucza chmurowego.

Wspierana przez Binance Labs platforma warstwy 1, oparta na sieci połączonych ze sobą rollupów, potwierdziła w środę, że atakujący wyprowadził aktywa o wartości około 3,27 mln dolarów z jej rachunków powierniczych, jak podał Cointelegraph. Około 2,16 mln dolarów z tej kwoty nadal pozostaje zablokowane w łańcuchu, którego działanie zostało wstrzymane od wtorku.

Jak atakujący się włamał

Zgodnie z własną analizą Initia opublikowaną na X, włamanie rozpoczęło się w poniedziałek, 9 listopada. Atakujący wykorzystał atak typu „command injection” w połączeniu z przejętym kluczem do platformy Google Cloud. Serwis ChainCatcher, powołując się na tę samą informację, podaje, że był to klucz służący do konfiguracji węzłów prywatnych. W wyniku naruszenia ujawniono zmienne środowiskowe, co umożliwiło dostęp do kont Initia na GitHubie i w chmurze, a także do dodatkowych danych uwierzytelniających.

Kolejnym celem był Anvil, platforma obsługująca rollupy Initia. Stamtąd atakujący zatwierdził fałszywe wypłaty IBC z pięciu rollupów, a każdy z nich uwolnił aktywa przechowywane na rachunkach powierniczych L1. We wtorek w pierwszym oświadczeniu Initia opisała to jako naruszenie kluczy infrastruktury rollupów, które pozwoliły atakującemu sfałszować transfery IBC, zgodnie z informacjami Protos.

Następnie atakujący sprzedał aktywa na własnej giełdzie DEX firmy Initia i wypłacił 13 400 TIA, 8 000 USDC.inj oraz 597 000 Noble USDC. Żadne tokeny INIT nie opuściły łańcucha. Initia informuje, że planuje przywrócić zabezpieczenie dotkniętych aktywów, a prace nad odzyskaniem środków trwają we współpracy z organami ścigania i partnerami ds. bezpieczeństwa.

Która liczba jest prawidłowa

To zależy od dnia, w którym to czytasz. We wtorkowym poście informującym o wstrzymaniu działalności podano kwotę 615 000 USD, która opuściła łańcuch – około 605 000 USD w USDC i 10 000 USD w innych tokenach – oraz stwierdzono, że większość środków, które opuściły escrow, nadal znajdowała się w Initia. W środowej aktualizacji kwota ta wzrosła do 3,27 mln dolarów przelanych na adres atakującego w sieci L1, przy czym 2,16 mln dolarów zostało zamrożonych. Wymienione powyżej wycofane tokeny w przybliżeniu pokrywają się z wtorkowym zestawieniem, więc te dwie liczby wydają się odnosić do różnych rzeczy: tego, co uciekło z łańcucha, w porównaniu z wszystkim, czego dotknął atakujący.

Łączna suma jest równie trudna do ustalenia. Protos dodał wtorkowe 615 000 do październikowych 2,7 mln i uzyskał około 3,3 mln. Dodanie nowych 3,27 mln dolarów daje natomiast w sumie około 5,97 mln dolarów w obu przypadkach, jak obliczył serwis FinanceFeeds. Initia nie opublikowała jeszcze ostatecznego rozliczenia żadnego z tych przypadków.

Pierwsza luka, trzy tygodnie wcześniej

23 października Initia wstrzymała działanie swojej sieci L1 i rollupów o godz. 15:41 czasu UTC. Badacz bezpieczeństwa Spreek jako pierwszy zasygnalizował atak, zgłaszając nieautoryzowane wyemitowanie tokenów. Następnie D2 Finance oszacowało szkody: 2 miliony AUSD bez pokrycia, z czego około 1,4 miliona AUSD, 105 ETH i 1,08 miliona USDC zostało przeniesionych do sieci Ethereum i skonsolidowanych w portfelu zawierającym około 1 135,5 ETH, o wartości 2,73 miliona dolarów w tamtym czasie.

W aktualizacji z 24 października firma Initia wskazała, że przyczyną był błąd buforowania skryptów w MoveVM, który pozwolił atakującemu sfałszować stan łańcucha i przypisać sobie niepokryte tokeny WETH, iUSD oraz USDC. Sieć została przywrócona 2 listopada. Awaria trwała osiem dni.

Reakcja

Użytkownicy nie byli łagodni. Według serwisu Protos jedno z kont wezwało do zamknięcia łańcucha, a inne oskarżyło zespół o spisek wewnętrzny. Nie znalazłem żadnych opublikowanych informacji potwierdzających tezę o spisku wewnętrznym, więc należy traktować to jako oskarżenie i nic więcej.

Najdziwniejsza jest jednak wykres. Według Protos i crypto.news, w ciągu 24 godzin po wstrzymaniu działalności cena INIT wzrosła o około 60% – i to w łańcuchu, w którym nie można było wykonać żadnych transakcji. Jeden z użytkowników serwisu X podejrzewał „crime pump”. Protos zauważa również, że TVL Initia, według DefiLlama, spadło o ponad 90% w stosunku do szczytowego poziomu osiągniętego po uruchomieniu w maju 2025 r., a straty wynikające z tych dwóch incydentów przekraczają obecnie wartość środków pozostałych w łańcuchu.

Do czego ciągle wracam

Te dwa ataki nie mają ze sobą żadnych wspólnych cech technicznych. Październikowy atak dotknął warstwy wykonawczej. Listopadowy uderzył w konto w chmurze, które za nią stało. Koncepcja Initia opiera się na łańcuchach dedykowanych konkretnym aplikacjom, połączonych za pomocą IBC, a taka konstrukcja tworzy wiele punktów, w których konieczne jest zaufanie. FinanceFeeds zwraca uwagę, że wystarczył jeden skompromitowany klucz w chmurze, aby przekroczyć kilka z tych granic jednocześnie.

Ja też tak to widzę i nie jest to komfortowa sytuacja. Naprawa błędu maszyny wirtualnej, nawet tej poddanej audytowi, nie rozwiązuje problemu wycieku danych uwierzytelniających, które mogą zatwierdzać wypłaty z pięciu rollupów. Zespół spędził dziesięć dni na załataniu pierwszego problemu i uzyskał osiem dni ciągłości działania, zanim pojawił się drugi.

Initia informuje, że odbuduje dotkniętą infrastrukturę w izolowanym środowisku, a ponowne uruchomienie potrwa dłużej niż zwykły restart. Na dzień środy nie ustalono jeszcze daty ponownego uruchomienia. Dopóki to nie nastąpi, nic nie dzieje się na L1 ani w jej rollupach, w tym 2,16 mln dolarów pozostaje zamrożone.