Initia, una cadena de bloques de capa 1, confirmó que ha sufrido su segundo exploit de seguridad en menos de tres semanas, con un atacante robando aproximadamente $3,27 millones en activos cripto tras comprometer la infraestructura en la nube de la red.
El último incidente subraya un patrón de riesgo persistente para los sistemas web3: una vez que los atacantes obtienen control de la nube o las herramientas de desarrollo detrás de una cadena de bloques, pueden acceder potencialmente a credenciales, validar acciones fraudulentas y mover fondos, a veces incluso antes de que las defensas en cadena puedan responder por completo.
Principales conclusiones
- Initia dice que el atacante utilizó un ataque de inyección de comandos vinculado a una clave comprometida del Google Cloud Platform para obtener acceso no autorizado.
- La brecha expuso variables de entorno, que, según Initia, permitieron el acceso a sus cuentas de GitHub y en la nube y la obtención de más credenciales.
- Initia informa que se validaron retiros fraudulentos de Inter-Blockchain Communication (IBC) desde cinco rollups, vaciando activos de cuentas de depósito en garantía.
- Aproximadamente $2.16 millones de los fondos robados permanecen congelados porque Initia detuvo la red.
- Según Initia, no se retiraron tokens INIT.
Segundo exploit apunta al acceso en la nube y las credenciales
Initia dijo en una actualización publicada el miércoles que el atacante obtuvo acceso no autorizado el lunes mediante un ataque de inyección de comandos que involucró una clave comprometida del Google Cloud Platform. En términos prácticos, la empresa describió la brecha como que se extendía más allá de un solo servicio: indicó que el atacante pudo ver variables de entorno, lo que luego proporcionó una vía hacia sistemas adicionales.
Según Initia, las variables de entorno expuestas permitieron al atacante acceder a sus cuentas de GitHub y en la nube, y obtener credenciales adicionales. Ese acceso ampliado ayudó al atacante a pasar de la intrusión a la ejecución, alcanzando componentes operativos conectados con cómo la red procesa la actividad de rollup.
Retiros fraudulentos de IBC a través de la infraestructura rollup
Initia afirmó que el atacante accedió a Anvil, una plataforma utilizada para alojar rollups, y luego validó retiros fraudulentos de IBC desde cinco rollups. Al hacerlo, el atacante activó retiros de activos mantenidos en las cuentas de depósito en garantía de Initia.
En su informe sobre el robo, Initia dijo que los activos sustraídos incluían múltiples tenencias de stablecoins y versiones envueltas registradas en diferentes denominaciones. Reportó que aproximadamente $2.16 millones permanecen congelados en su red detenida.
Initia también dijo que el atacante vendió activos en su exchange descentralizado y retiró las siguientes cantidades: 13.400 TIA, 8.000 USDC, 597.000 Noble USDC. La empresa también señaló que no se llevaron tokens INIT.
Inicio de la interrupción de la red y los esfuerzos de recuperación
Initia dijo que detuvo su red de capa 1 el martes. La interrupción tiene como objetivo evitar el procesamiento adicional de flujos de trabajo comprometidos mientras se llevan a cabo acciones de recuperación, especialmente cuando la validación fraudulenta de mensajes o la ejecución de retiros podrían continuar.
Initia dijo que planea restaurar el respaldo de los activos afectados y que los esfuerzos de recuperación están en curso con las autoridades y socios de seguridad. Para los inversores y usuarios, la pregunta clave a corto plazo es si la parte congelada puede asegurarse a largo plazo y qué tan rápido se pueden fortalecer los componentes restantes del sistema, como la infraestructura de alojamiento de rollups y la gestión de credenciales, contra la misma vía de ataque.
La explotación del 23 de octubre muestra un tema recurrente de violación
Este incidente sigue a una explotación anterior revelada por Cointelegraph el 23 de octubre. En ese caso, Initia detuvo la cadena de bloques tras un atacante drenó aproximadamente $2.7 millones explotando una vulnerabilidad en la caché de scripts de MoveVM de Initia. Initia indicó que la vulnerabilidad permitió que código malicioso omitiera controles de seguridad y creara saldos de tokens no respaldados, los cuales luego fueron transferidos fuera de la red.
Aunque los dos incidentes difieren en su mecanismo técnico—uno vinculado al comportamiento de la VM/caché de scripts y el otro a la compromisión de credenciales en la nube e inyección de comandos—comparten una vulnerabilidad operativa común: un atacante encontró una manera de pasar del acceso al sistema al movimiento de fondos antes de la contención completa.
Otra asimetría notable es cómo se contuvieron ambos eventos. En el robo más reciente, Initia indica que la interrupción de la red dejó aproximadamente $2.16 millones congelados, mientras que la explotación anterior provocó un drenaje total mayor antes de la mitigación. Esa diferencia sugiere que el momento y la detección, además de la capacidad para detener rápidamente el procesamiento adicional, pueden cambiar sustancialmente los resultados incluso cuando la postura de seguridad subyacente aún está bajo presión.
Para los lectores que siguen a Initia, las actualizaciones más importantes a vigilar son los detalles sobre qué credenciales se expusieron, qué pasos de corrección se han aplicado a la infraestructura en la nube y en los rollups, y si la empresa puede restaurar completamente el respaldo de todos los activos afectados sin nuevas complicaciones. Con dos incidentes importantes en menos de tres semanas, la próxima fase probablemente se centrará tanto en prevenir que el acceso basado en credenciales se repita como en devolver los fondos.
Este artículo se publicó originalmente como Initia informa sobre segundo exploit en 3 semanas, $3.27M robados en Crypto Breaking News – tu fuente confiable para noticias de cripto, noticias de bitcoin y actualizaciones de cadena de bloques.