Initia signale un deuxième piratage en 3 semaines, 3,27 M$ volés

Initia, une blockchain de couche 1, a confirmé avoir subi sa deuxième faille de sécurité en moins de trois semaines, un attaquant ayant volé environ 3,27 millions de dollars de crypto-actifs après avoir compromis l'infrastructure cloud du réseau.

Le dernier incident met en lumière un schéma de risque persistant pour les systèmes web3 : une fois que les attaquants prennent le contrôle du cloud ou des outils de développement derrière une blockchain, ils peuvent potentiellement accéder aux identifiants, valider des actions frauduleuses et déplacer des fonds — parfois même avant que les défenses sur chaîne ne puissent réagir pleinement.

• Initia affirme que l'attaquant a utilisé une attaque par injection de commande liée à une clé compromise du Google Cloud Platform pour obtenir un accès non autorisé.
• La violation a exposé des variables d'environnement, ce qui, selon Initia, a permis l'accès à ses comptes GitHub et cloud ainsi que la récupération de nouvelles identifiants.
• Initia signale que des retraits frauduleux d'Inter-Blockchain Communication (IBC) ont été validés à partir de cinq rollups, vidant les actifs des Comptes séquestre.
• Environ 2,16 million de dollars des fonds volés restent gelés car Initia a arrêté le réseau.
• Aucun jeton INIT n'a été retiré, selon Initia.

Initia a déclaré dans une mise à jour publiée mercredi que l'attaquant avait obtenu un accès non autorisé lundi via une attaque par injection de commande impliquant une clé compromise du Google Cloud Platform. En termes pratiques, l'entreprise a décrit la compromission comme s'étendant au-delà d'un seul service : elle a indiqué que l'attaquant avait pu consulter les variables d'environnement, ce qui lui a ensuite fourni un accès à d'autres systèmes.

Selon Initia, les variables d'environnement exposées ont permis à l'attaquant d'accéder à ses comptes GitHub et cloud, et d'obtenir des identifiants supplémentaires. Cet accès élargi a aidé l'attaquant à passer de l'intrusion à l'exécution — en atteignant les composants opérationnels liés au traitement de l'activité rollup du réseau.

Initia a déclaré que l'attaquant a accédé à Anvil, une plateforme utilisée pour héberger des rollups, puis a validé des retraits IBC frauduleux provenant de cinq rollups. En agissant ainsi, l'attaquant a déclenché des retraits des actifs détenus dans les comptes séquestres d'Initia.

Dans son compte rendu du vol, Initia a déclaré que les actifs volés incluaient plusieurs holdings de stablecoins et des versions enveloppées enregistrées sur différentes dénominations. Elle a indiqué qu'environ 2,16 millions de dollars restent gelés sur son réseau arrêté.

Initia a également déclaré que l'attaquant a vendu des actifs sur sa plateforme d'échange décentralisée et a effectué les retraits suivants : 13 400 TIA, 8 000 USDC, 597 000 Noble USDC. L'entreprise a également précisé qu'aucun jeton INIT n'a été pris.

Initia a déclaré avoir arrêté son réseau de couche 1 mardi. Cet arrêt vise à empêcher la poursuite du traitement des flux de travail compromis pendant que des mesures de récupération sont mises en œuvre, notamment pour éviter que la validation frauduleuse de messages ou l'exécution de retraits ne continuent.

Initia a déclaré qu'elle prévoit de rétablir la couverture des actifs affectés et que les efforts de récupération sont en cours avec les autorités judiciaires et les partenaires de sécurité. Pour les investisseurs et les utilisateurs, la question clé à court terme est de savoir si la partie gelée peut être sécurisée à long terme et à quelle vitesse les autres composants du système — tels que l'infrastructure d'hébergement des rollups et la gestion des identifiants — peuvent être renforcés contre la même voie d'attaque.

Cet incident fait suite à une exploitation précédente révélée par Cointelegraph le 23 octobre. Dans ce cas, Initia a arrêté la blockchain après qu'un attaquant a vidé environ 2,7 millions de dollars en exploitant une vulnérabilité dans le cache de script MoveVM d'Initia. Initia a indiqué que cette vulnérabilité permettait à un code malveillant de contourner les contrôles de sécurité et de créer des soldes de jetons non garantis, qui ont ensuite été transférés hors du réseau.

Bien que les deux incidents diffèrent par leur mécanisme technique—l’un lié au comportement de la VM/du cache de script et l’autre à une compromission des identifiants cloud et à une injection de commandes—they partagent une vulnérabilité opérationnelle commune : un attaquant a trouvé un moyen de passer de l’accès au système à la mobilité des fonds avant une containment complète.

Une autre asymétrie notable réside dans la manière dont les deux événements ont été contenus. Pour le vol le plus récent, Initia indique que l'arrêt du réseau a laissé environ 2,16 million de dollars gelés, alors que l'exploitation antérieure a entraîné un retrait total plus important avant la mitigation. Cette différence suggère que le timing et la détection — ainsi que la capacité à arrêter rapidement tout traitement supplémentaire — peuvent modifier de manière significative les résultats, même lorsque la posture de sécurité sous-jacente reste sous pression.

Pour les lecteurs suivant Initia, les mises à jour les plus importantes à surveiller sont les détails des identifiants exposés, les mesures de correction appliquées à l'infrastructure cloud et rollup, et si l'entreprise peut entièrement rétablir la couverture de tous les actifs affectés sans nouvelles complications. Avec deux incidents majeurs en moins de trois semaines, la prochaine phase se concentrera probablement autant sur la prévention des accès basés sur des identifiants que sur le retour des fonds.

Cet article a été initialement publié sous le titre Initia signale un deuxième exploit en 3 semaines, 3,27 M$ volés sur Crypto Breaking News – votre source de confiance pour les actualités crypto, les nouvelles sur le bitcoin et les mises à jour sur la blockchain.