Initia blir hacket igjen: 3,27 millioner dollar ble overført mindre enn tre uker etter det første angrepet

Initia har nå blitt rammet to ganger på under tre uker. Første gang skyldtes problemet en feil i selskapets virtuelle maskin. Denne gangen rørte angriperen aldri den virtuelle maskinen, men kom seg inn via en «cloud key» i stedet.

Layer-1-plattformen, som støttes av Binance Labs og er bygget rundt et nettverk av sammenkoblede rollups, bekreftet onsdag at en angriper flyttet rundt 3,27 millioner dollar i eiendeler ut av selskapets deponeringskontoer, rapporterte Cointelegraph. Omtrent 2,16 millioner dollar av dette beløpet sitter fortsatt fast på blokkjeden, som har vært stanset siden tirsdag.

Hvordan angriperen kom seg inn

Ifølge Initias egen oversikt på X startet innbruddet mandag 9. november. Angriperen brukte et kommandoinjeksjonsangrep sammen med en kompromittert Google Cloud Platform-nøkkel. ChainCatcher, som siterer den samme oppdateringen, sier at det var en nøkkel som ble brukt til å konfigurere private noder. Innbruddet avslørte miljøvariabler, og disse ga tilgang til Initias GitHub- og skykontoer samt flere påloggingsopplysninger.

Neste stopp var Anvil, plattformen som er vert for Initias rollups. Derfra godkjente angriperen falske IBC-uttak fra fem rollups, og hver av dem frigjorde eiendeler som var oppbevart på L1s deponeringskontoer. Initias første uttalelse på tirsdag beskrev det som kompromitterte nøkler til rollup-infrastrukturen som gjorde det mulig for en angriper å forfalske IBC-overføringer, ifølge Protos.

Angriperen solgte deretter på Initias egen DEX og tok ut 13 400 TIA, 8 000 USDC.inj og 597 000 Noble USDC. Ingen INIT forlot kjeden. Initia opplyser at de planlegger å gjenopprette sikkerhetsdekningen for de berørte eiendelene, og at gjenopprettingsarbeidet pågår i samarbeid med politimyndigheter og sikkerhetspartnere.

Hvilket tall er riktig?

Det avhenger av hvilken dag du leser dette. Tirsdagens oppdatering oppga at 615 000 dollar hadde forlatt kjeden, omtrent 605 000 dollar i USDC og 10 000 dollar i andre tokens, og sa at det meste av det som forlot depotet fortsatt befant seg på Initia. Onsdagens oppdatering utvidet tallet til 3,27 millioner dollar som ble overført til angriperens adresse på L1, med 2,16 millioner dollar frosset. De uttatte tokenene som er oppført ovenfor, stemmer omtrent overens med tirsdagens opptelling, så de to tallene ser ut til å måle forskjellige ting: det som kom seg ut av kjeden kontra alt angriperen rørte ved.

Det samlede totalbeløpet er like vanskelig å fastslå. Protos la tirsdagens 615 000 dollar til oktoberens 2,7 millioner dollar og kom frem til rundt 3,3 millioner dollar. Legger man i stedet til de nye 3,27 millioner dollar, blir det omtrent 5,97 millioner dollar for begge hendelsene, slik FinanceFeeds gjorde. Initia har ikke offentliggjort en endelig oppgjør for noen av dem.

Den første utnyttelsen, tre uker tidligere

23. oktober stanset Initia sin L1 og rollups kl. 15:41 UTC. Sikkerhetsforskeren Spreek var den første til å oppdage utnyttelsen og rapporterte om uautorisert utstedelse av tokens. D2 Finance kartla deretter skadeomfanget: 2 millioner AUSD uten dekning, hvorav om lag 1,4 millioner AUSD, 105 ETH og 1,08 millioner USDC ble overført til Ethereum og samlet i en lommebok som inneholdt rundt 1 135,5 ETH, verdt 2,73 millioner dollar på det tidspunktet.

I Initias oppdatering fra 24. oktober ble årsaken sporet til en feil i skript-caching i MoveVM, som gjorde det mulig for angriperen å forfalske kjedenes tilstand og tilskrive seg selv WETH, iUSD og USDC uten sikkerhetsdekning. Nettverket kom tilbake i drift 2. november. Det varte i åtte dager.

Reaksjon

Brukerne var ikke snille. Ifølge Protos oppfordret én konto kjeden til å stenge ned, mens en annen beskyldte teamet for å ha vært involvert i svindelen. Jeg kunne ikke finne noe publisert som støtter påstanden om innsidejobb, så betrakt det som en beskyldning og ikke noe mer.

Det merkelige er diagrammet. INIT steg med rundt 60% i løpet av de 24 timene etter driftsstansen, ifølge Protos og crypto.news, på en kjede der ingenting kunne flyttes. En bruker på X mistenkte en «crime pump». Protos bemerker også at Initias TVL, ifølge DefiLlama, har falt med over 90% fra toppnivået etter lanseringen i mai 2025, og at tapene fra de to hendelsene nå overstiger det som er igjen på kjeden.

Det jeg stadig kommer tilbake til

De to utnyttelsene har ingen teknisk overlapping. I oktober ble utførelseslaget rammet. I november ble skykontoen bak det rammet. Initias salgsargument er app-spesifikke kjeder koblet sammen via IBC, og den utformingen skaper mange steder der tillit må være på plass. FinanceFeeds påpeker at én kompromittert skynøkkel var nok til å krysse flere av disse grensene på en gang.

Det er også min tolkning, og det er ubehagelig. En løsning på en VM-feil, selv en som er revidert, gjør ingenting med en lekket påloggingsinformasjon som kan godkjenne uttak fra fem rollups. Teamet brukte ti dager på å fikse det første problemet og fikk åtte dager med oppetid før det andre problemet rammet dem.

Initia sier at de vil gjenoppbygge den berørte infrastrukturen i et isolert miljø, og at omstarten vil ta lengre tid enn en vanlig omstart. Per onsdag er det ikke fastsatt noen dato for omstart. Inntil det skjer, skjer det ingenting på L1 eller dets rollups, inkludert de 2,16 millioner dollarene som ligger frosset.