أكدت Initia، وهي شبكة من الطبقة الأولى، أنها تعرضت لثغرة أمنية ثانية خلال أقل من ثلاثة أسابيع، حيث سرق مهاجم ما قيمته حوالي 3.27 مليون دولار من الأصول المشفرة بعد اختراق البنية التحتية السحابية للشبكة.
يُبرز الحادث الأخير نمطًا مستمرًا من المخاطر لأنظمة الويب 3: بمجرد أن يكتسب المهاجمون السيطرة على السحابة أو أدوات المطورين خلف البلوكشين، يمكنهم الوصول المحتمل إلى بيانات الاعتماد، وتأكيد الإجراءات الاحتيالية، ونقل الأموال—أحيانًا حتى قبل أن تستطيع الدفاعات على السلسلة الاستجابة بالكامل.
النقاط الرئيسية
- تقول Initia إن المهاجم استخدم هجوم حقن أوامر مرتبط بمفتاح مخترق لمنصة Google Cloud للحصول على وصول غير مصرح به.
- كشف الاختراق متغيرات البيئة، والتي تقول Initia إنها مكّنت من الوصول إلى حساباتها على GitHub والسحابة واسترجاع معلومات اعتماد إضافية.
- تُبلغ Initia أن عمليات سحب احتيالية لبروتوكول التواصل بين السلاسل (IBC) تم التحقق منها من خمسة rollups، مما أدى إلى تفريغ الأصول من حسابات الضمان.
- ما زال حوالي 2.16 مليون دولار من الأموال المسروقة مجمدة لأن Initia أوقفت الشبكة.
- لم تُسحَب أي رموز INIT، وفقًا لـ Initia.
يستهدف الاستغلال الثاني الوصول إلى السحابة والبيانات الائتمانية
قالت Initia في تحديث نُشر يوم الأربعاء إن المهاجم حصل على وصول غير مصرح به يوم الاثنين عبر هجوم حقن أوامر تضمن مفتاحًا مخترقًا لمنصة Google Cloud. من الناحية العملية، وصفت الشركة الاختراق بأنه تجاوز خدمة واحدة: وقالت إن المهاجم تمكّن من عرض متغيرات البيئة، مما مهّد الطريق للوصول إلى أنظمة إضافية.
وفقًا لـ Initia، سمحت متغيرات البيئة المكشوفة للمهاجم بالوصول إلى حساباته على GitHub والسحابة، والحصول على بيانات اعتماد إضافية. وساعد هذا الوصول الموسّع المهاجم على الانتقال من الاختراق إلى التنفيذ—الوصول إلى المكونات التشغيلية المرتبطة بكيفية معالجة الشبكة لنشاط الـ rollup.
عمليات سحب IBC احتيالية عبر بنية الـ rollup
أشارت Initia إلى أن المهاجم وصل إلى Anvil، وهي منصة تُستخدم لاستضافة rollups، ثم وافق على عمليات سحب IBC احتيالية من خمسة rollups. وبذلك، أثار المهاجم عمليات سحب للأصول المحفوظة في حسابات الضمان الخاصة بـ Initia.
في تقريرها عن السرقة، قالت Initia إن الأصول المسروقة شملت عدة حيازات من العملات المستقرة وإصدارات مغلفة مسجلة عبر عملات متنوعة. وأفادت أن حوالي 2.16 مليون دولار لا تزال مجمدة على شبكتها المتوقفة.
أضافت إنيشيا أن المهاجم باع الأصول في بورصته اللامركزية وسحب المبالغ التالية: 13,400 TIA، 8,000 USDC، 597,000 Noble USDC. كما لاحظت الشركة أنه لم يتم أخذ أي رموز INIT.
توقف الشبكة وبدء جهود الاستعادة
قالت Initia إنها أوقفت شبكتها من الطبقة الأولى يوم الثلاثاء. يهدف هذا الإيقاف إلى منع معالجة مزيد من سير العمل المخترقة أثناء تنفيذ إجراءات الاسترداد، خاصة عندما قد تستمر المصادقة الاحتيالية على الرسائل أو تنفيذ السحوبات.
قالت Initia إنها تخطط لاستعادة دعم الأصول المتأثرة، وأن جهود الاسترداد مستمرة بالتعاون مع سلطات إنفاذ القانون وشركاء الأمن. بالنسبة للمستثمرين والمستخدمين، فإن السؤال الرئيسي على المدى القريب هو ما إذا كان يمكن تأمين الجزء المجمد على المدى الطويل، وكم من الوقت سيستغرق تقوية مكونات النظام المتبقية—مثل بنية استضافة rollup وإدارة بيانات الاعتماد—ضد نفس مسار الهجوم.
يُظهر الاستغلال في 23 أكتوبر المبكر نمطًا متكررًا من الانتهاكات
يتبع هذا الحادث استغلالًا سابقًا كشف عنه Cointelegraph في 23 أكتوبر. في تلك الحالة، أوقفت Initia البلوكشين بعد أن قام مهاجم بتفريغ حوالي 2.7 مليون دولار من خلال استغلال ثغرة في ذاكرة التخزين المؤقت لنص MoveVM الخاص بـ Initia. وقالت Initia إن الثغرة سمحت بتنفيذ كود ضار لتجاوز فحوصات الأمان وإنشاء أرصدة رموز غير مدعومة، والتي تم بعد ذلك نقلها خارج الشبكة.
على الرغم من أن الحادثين يختلفان في الآلية التقنية—واحد مرتبط بسلوك VM/ذاكرة التخزين المؤقت للنص والآخر مرتبط بخرق بيانات اعتماد السحابة وحقن الأوامر—فإنهما يشتركان في نقطة ضعف تشغيلية مشتركة: وجد المهاجم طريقة للانتقال من الوصول إلى النظام إلى تحريك الأموال قبل احتواء كامل.
عدم التوازن البارز الآخر هو كيفية احتواء الحدثين. في السرقة الأخيرة، تقول Initia إن وقف الشبكة أدى إلى تجميد حوالي 2.16 مليون دولار، في حين أن الاستغلال السابق أدى إلى سحب كمية أكبر قبل اتخاذ التدابير التخفيفية. يشير هذا الفرق إلى أن التوقيت والكشف، بالإضافة إلى القدرة على إيقاف المعالجة الإضافية بسرعة، يمكن أن يغيّرا النتائج بشكل ملموس حتى عندما لا يزال الوضع الأمني الأساسي تحت الضغط.
للمستخدمين الذين يتبعون Initia، فإن أهم التحديثات التي يجب مراقبتها هي تفاصيل ما هي البيانات التي تم تسريبها، وما هي خطوات التصحيح التي تم تطبيقها على البنية التحتية للسحابة والروولأب، وما إذا كان يمكن للشركة استعادة الضمان الكامل لجميع الأصول المتأثرة دون ظهور تعقيدات جديدة. مع حدوث حادثين رئيسيين في أقل من ثلاثة أسابيع، من المرجح أن يركز المرحلة القادمة بنفس القدر على منع تكرار الوصول القائم على بيانات الاعتماد كما يركز على استعادة الأموال.
تم نشر هذه المقالة أصلاً كـ Initia تُبلغ عن ثغرة ثانية في غضون 3 أسابيع، وسرقة 3.27 مليون دولار على Crypto Breaking News – مصداقيك الموثوق لأخبار التشفير، وأخبار البيتكوين، وتحديثات البلوك تشين.