Initia joutui jälleen hakkeroinnin kohteeksi: 3,27 miljoonaa dollaria siirrettiin alle kolmen viikon kuluttua ensimmäisestä hyökkäyksestä

Initia on joutunut hyökkäyksen kohteeksi jo kahdesti alle kolmen viikon aikana. Ensimmäisellä kerralla ongelmana oli virtuaalikoneen ohjelmistovirhe. Tällä kertaa hyökkääjä ei koskenut virtuaalikoneeseen lainkaan, vaan tunkeutui järjestelmään pilvipalvelun avaimen kautta.

Binance Labsin tukema layer-1-verkko, joka perustuu toisiinsa kytkettyjen rollupien verkostoon, vahvisti keskiviikkona, että hyökkääjä siirsi noin 3,27 miljoonaa dollaria varoja pois sen escrow-tileiltä, Cointelegraph raportoi. Noin 2,16 miljoonaa dollaria tästä summasta on edelleen jumissa ketjussa, jonka toiminta on ollut keskeytettynä tiistaista lähtien.

Miten hyökkääjä pääsi sisään

Initian oman X:llä julkaiseman selvityksen mukaan tunkeutuminen alkoi maanantaina 9. marraskuuta. Hyökkääjä käytti komentoinjektiohyökkäystä yhdessä vaarantuneen Google Cloud Platform -avaimen kanssa. ChainCatcher viittaa samaan päivitykseen ja kertoo, että kyseessä oli avain, jota käytettiin yksityisten solmujen konfigurointiin. Murto paljasti ympäristömuuttujat, jotka avasivat pääsyn Initian GitHub- ja pilvipalvelutilille sekä muihin tunnistetietoihin.

Seuraava kohde oli Anvil, alusta, joka isännöi Initiassa rollup-ratkaisuja. Sieltä hyökkääjä vahvisti viidestä rollupista peräisin olevat vilpilliset IBC-nostot, ja jokainen niistä vapautti L1:n escrow-tileillä pidettyjä varoja. Initiassa tiistaina julkaistussa ensimmäisessä lausunnossa tilannetta kuvailtiin Protosin mukaan vaarantuneiksi rollup-infrastruktuurin avaimiksi, joiden avulla hyökkääjä pystyi väärentämään IBC-siirtoja.

Hyökkääjä myi varat sitten Initiassa omalla DEX-pörssillä ja nosti 13 400 TIA:ta, 8 000 USDC.inj:tä ja 597 000 Noble USDC:tä. INIT-valuuttaa ei poistunut ketjusta. Initia ilmoittaa aikovansa palauttaa kyseisten varojen vakuudet, ja palautustyö on käynnissä yhteistyössä lainvalvontaviranomaisten ja turvallisuusalan kumppaneiden kanssa.

Mikä luku on oikea

Riippuu siitä, minä päivänä tämän luet. Tiistain keskeyttämisilmoituksessa mainittiin, että ketjusta oli siirretty 615 000 dollaria, josta noin 605 000 dollaria oli USDC:tä ja 10 000 dollaria muita tokeneita, ja todettiin, että suurin osa escrow-tililtä poistuneesta summasta oli edelleen Initiassa. Keskiviikon päivityksessä luku kasvoi 3,27 miljoonaan dollariin, jotka oli siirretty hyökkääjän osoitteeseen L1-tasolla, ja 2,16 miljoonaa dollaria oli jäädytetty. Edellä luetellut nostetut tokenit vastaavat suurin piirtein tiistain lukemia, joten nämä kaksi lukua näyttävät mittaavan eri asioita: mitä pääsi pois ketjusta verrattuna kaikkeen, mihin hyökkääjä koski.

Yhteissumma on yhtä vaikeasti määritettävä. Protos laski tiistain 615 000 dollarin summan yhteen lokakuun 2,7 miljoonan dollarin kanssa ja sai tulokseksi noin 3,3 miljoonaa dollaria. Jos sen sijaan lasketaan mukaan uudet 3,27 miljoonaa dollaria, molempien tapahtumien yhteissummaksi saadaan noin 5,97 miljoonaa dollaria, kuten FinanceFeeds teki. Initia ei ole julkaissut lopullista tilinpäätöstä kummankaan tapauksen osalta.

Ensimmäinen hyökkäys, kolme viikkoa aiemmin

23. lokakuuta Initia keskeytti L1- ja rollup-toimintansa kello 15.41 UTC. Turvallisuustutkija Spreek havaitsi hyökkäyksen ensimmäisenä ja ilmoitti luvattomasta tokenien lyömisestä. D2 Finance selvitti sitten vahingon laajuuden: 2 miljoonaa vakuudettomia AUSD-tokenia, joista noin 1,4 miljoonaa AUSD:tä, 105 ETH:ta ja 1,08 miljoonaa USDC:tä siirrettiin Ethereumiin ja yhdistettiin lompakkoon, jossa oli noin 1 135,5 ETH:ta, joiden arvo oli tuolloin 2,73 miljoonaa dollaria.

Initian 24. lokakuuta julkaisemassa päivityksessä syyksi nimettiin MoveVM:n skriptien välimuistivirhe, jonka avulla hyökkääjä pystyi väärentämään ketjun tilaa ja kirjaamaan itselleen vakuudettomia WETH-, iUSD- ja USDC-tokenia. Verkko palautui 2. marraskuuta. Häiriö kesti kahdeksan päivää.

Reaktiot

Käyttäjät eivät olleet lempeitä. Protosin mukaan yksi tili kehotti ketjua sulkemaan toimintansa, ja toinen syytti tiimiä sisäpiirijutusta. En löytänyt mitään julkaistua tietoa, joka tukisi väitettä sisäpiirijutusta, joten pidä sitä vain syytöksenä eikä enempää.

Oudointa on kaavio. Protosin ja crypto.newsin mukaan INIT nousi noin 60% 24 tunnin aikana keskeytyksen jälkeen ketjussa, jossa mitään ei voitu siirtää. Yksi X:n käyttäjä epäili ”rikollista hintapumppausta ”. Protos huomauttaa myös, että Initian TVL on DefiLlaman mukaan laskenut yli 90% toukokuun 2025 lanseerauksen jälkeisestä huipustaan ja että näiden kahden tapauksen aiheuttamat tappiot ylittävät nyt ketjussa jäljellä olevan summan.

Mihin palaan yhä uudelleen

Näillä kahdella hyökkäyksellä ei ole teknistä yhtäläisyyttä. Lokakuun hyökkäys kohdistui suorituskerrokseen. Marraskuun hyökkäys kohdistui sen takana olevaan pilvitiliin. Initiassa on kyse IBC:n kautta linkitetyistä sovelluskohtaisista ketjuista, ja tällainen rakenne luo paljon kohtia, joissa luottamuksen on pidettävä. FinanceFeeds huomauttaa, että yksi vaarantunut pilviavain riitti ylittämään useita näistä rajoista kerralla.

Se on myös minun tulkintani, ja se on huolestuttavaa. VM-virheen korjaus, jopa auditoitu sellainen, ei vaikuta mitenkään vuotaneisiin tunnistetietoihin, joilla voidaan hyväksyä nostoja viidestä rollupista. Tiimi käytti kymmenen päivää ensimmäisen ongelman korjaamiseen ja sai kahdeksan päivää toimintavakautta, ennen kuin toinen ongelma paljastui.

Initia ilmoittaa rakentavansa vaikutuksen kohteeksi joutuneen infrastruktuurin uudelleen eristetyssä ympäristössä ja että uudelleenkäynnistys kestää tavallista käynnistystä kauemmin. Keskiviikkona uudelleenkäynnistyspäivää ei vielä ole vahvistettu. Siihen asti mikään ei liiku L1:llä tai sen rollupeissa, mukaan lukien jäädytetyt 2,16 miljoonaa dollaria.