Блокчейн Initia подвергся второму взлому за месяц на $3,27 млн

L1-блокчейн Initia подвергся второму взлому менее чем за три недели. Злоумышленник скомпрометировал облачную инфраструктуру проекта и похитил криптоактивы на $3,27 млн.

Based on our investigation so far, on November 9th an attacker gained unauthorized access to Initia’s infrastructure through a command injection attack with a compromised GCP key used for provisioning private nodes. This exposed environment variables, which allowed the attacker to access our GitHub and GCP accounts and obtain further credentials. With these credentials the attacker gained access to Anvil, the hosting platform used by rollups on Initia. Through this the attacker was able to validate forged IBC withdrawals from five rollups, unlocking assets held by the Initia L1’s IBC escrow accounts. Around $3.27m of assets were moved to the attacker’s Initia L1 address with $2.16m of the stolen funds remaining on the paused L1 where they cannot be moved. The attacker sold stolen assets on the Initia DEX and then withdrew 13.4k TIA, 8k USDC.inj, and 597k Noble USDC reaching Initia’s outbound IBC rate limits. No INIT was withdrawn from Initia by the attacker. We intend to restore the backing of affected assets in full. We are finalizing the plan and will share the details once it is confirmed. As a precaution, we are rebuilding the affected infrastructure from scratch in an isolated environment, enforcing least-privilege access controls, and hardening security at every layer of the stack from cloud infrastructure to onchain IBC validation. Given the above, we expect this process to be longer than a routine network restart. We will share timelines as they become available. All announcements will be made through Initia’s official channels. Thank you for your patience.

— Initia 🪢 (@initia) November 10, 2026

Команда приостановила работу блокчейна. Около $2,16 млн из украденных средств остались замороженными на остановленной сети и пока недоступны хакеру.

Взлом произошел из-за утечки ключа Google Cloud Platform, который использовался для настройки приватных нод. Через внедрение команд злоумышленник получил доступ к переменным окружения, аккаунтам команды на GitHub и в облачном сервисе.

Затем хакер проник на сервис Anvil, обслуживающий роллапы в сети Initia. Это позволило ему подтвердить фальшивые выводы средств через межсетевой протокол IBC и разблокировать токены из эскроу-счетов пяти роллапов.

Хакер продал полученные активы на внутренней децентрализованной бирже и вывел из сети 13 400 TIA, 8000 USDC.inj и 597 000 Noble USDC, достигнув лимитов протокола. Нативный токен INIT злоумышленник не выводил.

Разработчики заявили, что полностью восстановят обеспечение пострадавших активов. Сейчас команда перестраивает архитектуру с нуля в изолированной среде, поэтому перезапуск блокчейна займет больше времени, чем стандартное восстановление сети.

Напомним, 23 октября Initia уже потеряла $2,7 млн из-за ошибки в кэше скриптов виртуальной машины MoveVM. Тогда злоумышленник обошел проверку безопасности, создал токены без обеспечения и вывел их через кроссчейн-мост.