Initia вновь подверглась хакерской атаке: менее чем через три недели после первой атаки с её счетов было похищено 3,27 млн долларов

За менее чем три недели проект Initia подвергся атакам уже дважды. В первый раз причиной стала ошибка в виртуальной машине. На этот раз злоумышленник даже не затронул виртуальную машину, а проник через облачный ключ.

Проект уровня 1, поддерживаемый Binance Labs и построенный на основе сети взаимосвязанных роллапов, подтвердил в среду, что злоумышленник вывел активы на сумму около 3,27 млн долларов со счетов эскроу, сообщает Cointelegraph. Примерно 2,16 млн долларов из этой суммы по-прежнему застряли в цепочке, работа которой приостановлена со вторника.

Как злоумышленник проник в систему

Согласно собственному анализу Initia, опубликованному в X, вторжение началось в понедельник, 9 ноября. Злоумышленник использовал атаку с внедрением команд в сочетании с скомпрометированным ключом Google Cloud Platform. ChainCatcher, ссылаясь на то же обновление, сообщает, что речь шла о ключе, используемом для настройки частных узлов. В результате взлома были раскрыты переменные среды, что позволило злоумышленнику получить доступ к аккаунтам Initia на GitHub и в облачном хранилище, а также к дополнительным учетным данным.

Следующей целью стала Anvil — платформа, на которой размещены роллапы Initia. Оттуда злоумышленник подтвердил мошеннические выводы средств по IBC из пяти роллапов, и каждый из них освободил активы, хранящиеся на счетах эскроу L1. В первом заявлении Initia, опубликованном во вторник, это было описано как компрометация ключей инфраструктуры роллапов, позволившая злоумышленнику сфабриковать переводы по IBC, согласно Protos.

Затем злоумышленник продал активы на собственном DEX Initia и вывел 13 400 TIA, 8 000 USDC.inj и 597 000 Noble USDC. Ни один токен INIT не покинул цепочку. Initia заявляет, что планирует восстановить обеспечение затронутых активов, и что в настоящее время ведётся работа по восстановлению совместно с правоохранительными органами и партнёрами по безопасности.

Какая цифра верна

Зависит от того, в какой день вы это читаете. Во вторник в сообщении о приостановке деятельности указывалось, что из цепочки было выведено 615 000 долларов: около 605 000 долларов в USDC и 10 000 долларов в других токенах, при этом отмечалось, что большая часть средств, покинувших эскроу, по-прежнему находилась на Initia. В обновлении от среды эта цифра увеличилась до 3,27 млн долларов, переведенных на адрес злоумышленника на L1, при этом 2,16 млн долларов были заморожены. Перечисленные выше выведенные токены в целом совпадают с данными вторника, поэтому эти две цифры, по-видимому, отражают разные вещи: то, что удалось вывести из цепочки, и то, к чему прикоснулся злоумышленник.

Общая сумма также трудно определима. Protos сложил 615 000 долларов со вторника с 2,7 млн долларов за октябрь и получил примерно 3,3 млн долларов. Если же сложить новые 3,27 млн долларов, то, как это сделал FinanceFeeds, общая сумма по обоим инцидентам составит примерно 5,97 млн долларов. Initia пока не опубликовала окончательных подсчётов ни по одному из этих случаев.

Первая уязвимость, три недели назад

23 октября Initia приостановила работу своих L1 и роллапов в 15:41 по UTC. Исследователь в области безопасности Spreek первым обнаружил уязвимость, сообщив о несанкционированном чеканке токенов. Затем D2 Finance подсчитала ущерб: 2 миллиона AUSD без обеспечения, при этом около 1,4 миллиона AUSD, 105 ETH и 1,08 миллиона USDC были переведены на Ethereum и объединены в кошелек, содержащий около 1 135,5 ETH, стоимость которых на тот момент составляла 2,73 миллиона долларов.

В обновлении от 24 октября компания Initia указала, что причиной стала ошибка кэширования скриптов в MoveVM, которая позволила злоумышленнику подделать состояние цепочки и зачислить себе необеспеченные WETH, iUSD и USDC. Сеть возобновила работу 2 ноября. Сбой длился восемь дней.

Реакция

Пользователи отреагировали резко. По данным Protos, один аккаунт призвал к остановке сети, а другой обвинил команду в инсайдерской махинации. Мне не удалось найти никаких опубликованных данных, подтверждающих утверждение об инсайдерской махинации, поэтому рассматривайте это как обвинение и не более того.

Еще более странным является график. По данным Protos и crypto.news, за 24 часа после остановки INIT вырос примерно на 60% — при том, что в сети было невозможно совершать какие-либо операции. Один пользователь на X заподозрил «криминальный памп». Protos также отмечает, что TVL Initia, по данным DefiLlama, упал более чем на 90% по сравнению с пиковым значением после запуска в мае 2025 года, и что убытки от двух инцидентов теперь превышают то, что осталось в цепочке.

К чему я постоянно возвращаюсь

Эти два эксплойта не имеют технического пересечения. В октябре был затронут уровень выполнения. В ноябре — облачный аккаунт, стоящий за ним. Концепция Initia заключается в цепочках, специфичных для приложений, связанных через IBC, и такая архитектура создает множество точек, где необходимо доверие. FinanceFeeds отмечает, что одного скомпрометированного облачного ключа хватило, чтобы пересечь сразу несколько таких границ.

Я тоже так считаю, и это вызывает беспокойство. Исправление ошибки виртуальной машины, даже прошедшей аудит, никоим образом не решает проблему утечки учетных данных, с помощью которых можно авторизовать вывод средств из пяти роллапов. Команда потратила десять дней на исправление первой проблемы и обеспечила восемь дней бесперебойной работы, прежде чем обнаружилась вторая.

Initia заявляет, что перестроит затронутую инфраструктуру в изолированной среде и что перезапуск займет больше времени, чем обычная перезагрузка. По состоянию на среду дата перезапуска не известна. Пока она не будет определена, на L1 и его роллапах ничего не происходит, включая замороженные 2,16 млн долларов.