Initia знову стала жертвою хакерської атаки: менш ніж через три тижні після першої атаки було викрадено 3,27 млн доларів

За останні три тижні Initia зазнала двох атак. Першого разу причиною стала помилка у її віртуальній машині. Цього разу зловмисник навіть не торкався віртуальної машини, а проник через хмарний ключ.

Проект рівня 1, що підтримується Binance Labs і побудований на основі мережі взаємопов’язаних рол-апів, у середу підтвердив, що зловмисник вивів з його ескроу-рахунків активи на суму близько 3,27 млн доларів, повідомляє Cointelegraph. Приблизно 2,16 млн доларів з цієї суми досі заблоковані в ланцюжку, робота якого призупинена з вівторка.

Як зловмисник отримав доступ

Згідно з власним аналізом Initia, опублікованим на X, вторгнення почалося в понеділок, 9 листопада. Зловмисник використав атаку типу «введення команди» (command injection) разом із скомпрометованим ключем Google Cloud Platform. ChainCatcher, посилаючись на те саме оновлення, зазначає, що це був ключ, який використовувався для налаштування приватних вузлів. В результаті злом були викриті змінні середовища, що дозволило отримати доступ до GitHub-акаунтів та хмарних облікових записів Initia, а також до додаткових облікових даних.

Наступною зупинкою стала Anvil — платформа, на якій розміщені рол-апи Initia. Звідти зловмисник підтвердив шахрайські виведення коштів через IBC з п’яти рол-апів, і кожен з них звільнив активи, що зберігалися на ескроу-рахунках L1. У першій заяві Initia у вівторок йшлося про те, що зловмиснику вдалося отримати доступ до ключів інфраструктури рол-апів, що дозволило йому сфабрикувати IBC-перекази, як повідомляє Protos.

Потім зловмисник продав активи на власному DEX Initia та вивів 13 400 TIA, 8 000 USDC.inj та 597 000 Noble USDC. Жодних INIT з ланцюга не вивезено. Initia заявляє, що планує відновити забезпечення постраждалих активів, і що робота з відновлення триває у співпраці з правоохоронними органами та партнерами з безпеки.

Яка цифра правильна

Це залежить від того, в який день ви це читаєте. У вівторковому повідомленні про призупинення діяльності зазначалося, що з ланцюга було виведено 615 000 доларів — приблизно 605 000 доларів у USDC та 10 000 доларів в інших токенах, — і що більша частина коштів, які залишили ескроу, все ще перебуває на Initia. У оновленні від середи ця цифра зросла до 3,27 млн доларів, переведених на адресу зловмисника на L1, при цьому 2,16 млн доларів було заморожено. Перелічені вище виведені токени приблизно збігаються з підрахунком за вівторок, тож ці дві цифри, схоже, вимірюють різні речі: те, що втекло з ланцюга, проти всього, до чого доторкнувся зловмисник.

Сумарна цифра також важко визначити. Protos додали 615 000 доларів з вівторка до 2,7 млн доларів з жовтня й отримали суму близько 3,3 млн доларів. Якщо ж додати нові 3,27 млн доларів, то загальна сума за обидва інциденти становитиме приблизно 5,97 млн доларів, як це зробив FinanceFeeds. Initia не опублікувала остаточних підрахунків щодо жодного з цих випадків.

Перша уразливість, три тижні тому

23 жовтня Initia призупинила роботу своїх L1 та рол-апів о 15:41 за UTC. Дослідник у сфері безпеки Spreek першим виявив уразливість, повідомивши про несанкціоноване випущення токенів. Потім D2 Finance підрахувала збитки: 2 мільйони AUSD без забезпечення, з яких приблизно 1,4 мільйона AUSD, 105 ETH та 1,08 мільйона USDC було переведено на Ethereum і об’єднано в гаманець, що містив близько 1 135,5 ETH, вартість яких на той момент становила 2,73 мільйона доларів.

У оновленні від 24 жовтня компанія Initia вказала, що причиною стала помилка кешування скриптів у MoveVM, яка дозволила зловмиснику підробити стан ланцюга та привласнити собі незабезпечені WETH, iUSD та USDC. Мережа відновила роботу 2 листопада. Збій тривав вісім днів.

Реакція

Користувачі не були поблажливими. За даними Protos, один акаунт закликав закрити ланцюг, а інший звинуватив команду у змови зсередини. Мені не вдалося знайти жодних опублікованих даних, які б підтверджували це твердження, тому сприймайте це як звинувачення і не більше.

Найдивніше — це графік. За даними Protos та crypto.news, ціна INIT зросла приблизно на 60% за 24 години після зупинки ланцюга, в умовах, коли ніщо не могло бути переміщено. Один користувач на X запідозрив «злочинний памп». Protos також зазначає, що TVL Initia, за даними DefiLlama, впав більш ніж на 90% від пікового значення після запуску в травні 2025 року, і що збитки від цих двох інцидентів зараз перевищують те, що залишилося в ланцюгу.

До чого я постійно повертаюся

Ці два експлойти технічно не перетинаються. У жовтні атака була спрямована на рівень виконання. У листопаді — на хмарний обліковий запис, що стоїть за ним. Концепція Initia — це ланцюги, призначені для конкретних додатків, пов’язані за допомогою IBC, і така архітектура створює безліч точок, де необхідна довіра. FinanceFeeds зазначає, що одного скомпрометованого хмарного ключа вистачило, щоб одночасно перетнути кілька таких меж.

Я теж так вважаю, і це викликає занепокоєння. Виправлення помилки віртуальної машини, навіть перевіреної аудитом, ніяк не впливає на витік облікових даних, за допомогою яких можна затверджувати виведення коштів із п’яти рол-апів. Команда витратила десять днів на виправлення першої проблеми й пропрацювала вісім днів без збоїв, перш ніж їх наздогнала друга.

Initia заявляє, що відновить уражену інфраструктуру в ізольованому середовищі, і що перезапуск займе більше часу, ніж звичайне перезавантаження. Станом на середу дата перезапуску не визначена. Доки її не буде, на L1 та його рол-апах нічого не відбуватиметься, включаючи заморожені 2,16 мільйона доларів.