A Initia, uma blockchain de camada 1, confirmou que sofreu seu segundo ataque de segurança em menos de três semanas, com um atacante roubando aproximadamente US$ 3,27 milhões em criptoativos após comprometer a infraestrutura em nuvem da rede.
O último incidente destaca um padrão de risco persistente para sistemas web3: uma vez que atacantes ganham controle da nuvem ou das ferramentas de desenvolvimento por trás de uma blockchain, eles podem acessar credenciais, validar ações fraudulentas e mover fundos — às vezes até mesmo antes das defesas on-chain conseguirem responder completamente.
Principais conclusões
- Initia afirma que o atacante utilizou um ataque de injeção de comando vinculado a uma chave comprometida do Google Cloud Platform para obter acesso não autorizado.
- A violação expôs variáveis de ambiente, que, segundo a Initia, permitiram o acesso às suas contas no GitHub e na nuvem e a obtenção de credenciais adicionais.
- A Initia relata que retiradas fraudulentas de Comunicação Inter-Blockchain (IBC) foram validadas de cinco rollups, esvaziando ativos de contas de garantia.
- Aproximadamente US$ 2,16 milhões dos fundos roubados permanecem congelados porque a Initia interrompeu a rede.
- Nenhum token INIT foi retirado, segundo a Initia.
Segundo exploit visa acesso e credenciais em nuvem
Initia disse em uma atualização publicada na quarta-feira que o atacante obteve acesso não autorizado na segunda-feira por meio de um ataque de injeção de comando que envolveu uma chave comprometida do Google Cloud Platform. Em termos práticos, a empresa descreveu a violação como tendo se estendido além de um único serviço: afirmou que o atacante conseguiu visualizar variáveis de ambiente, o que posteriormente forneceu um caminho para sistemas adicionais.
De acordo com a Initia, as variáveis de ambiente expostas permitiram ao atacante acessar suas contas no GitHub e na nuvem, e obter credenciais adicionais. Esse acesso expandido ajudou o atacante a passar da intrusão para a execução — alcançando componentes operacionais conectados ao modo como a rede processa a atividade de rollup.
Saque fraudulento IBC por meio da infraestrutura rollup
Initia afirmou que o atacante acessou o Anvil, uma plataforma usada para hospedar rollups, e depois validou saques fraudulentos do IBC de cinco rollups. Ao fazer isso, o atacante acionou saques de ativos mantidos nas contas de garantia da Initia.
Em seu relato sobre o roubo, a Initia afirmou que os ativos roubados incluíam múltiplas posições em stablecoins e versões embrulhadas registradas em diferentes denominações. Ela informou que aproximadamente US$ 2,16 milhões permanecem congelados em sua rede interrompida.
Initia acrescentou que o atacante vendeu ativos em sua exchange descentralizada e retirou as seguintes quantias: 13.400 TIA, 8.000 USDC, 597.000 Noble USDC. A empresa também observou que nenhum token INIT foi retirado.
Parada da rede e esforços de recuperação começam
Initia disse que interrompeu sua rede de camada 1 na terça-feira. A interrupção tem como objetivo impedir o processamento adicional de fluxos de trabalho comprometidos enquanto ações de recuperação são realizadas, especialmente quando a validação fraudulenta de mensagens ou a execução de retiradas poderiam continuar.
A Initia afirmou que planeja restaurar o lastro dos ativos afetados e que os esforços de recuperação estão em andamento com autoridades law enforcement e parceiros de segurança. Para investidores e usuários, a principal questão de curto prazo é se a porção congelada pode ser garantida a longo prazo e quão rapidamente os demais componentes do sistema—como infraestrutura de hospedagem de rollup e gerenciamento de credenciais—podem ser fortalecidos contra a mesma via de ataque.
Exploração de 23 de outubro mostra um tema de violação recorrente
Este incidente segue uma exploração anterior divulgada por Cointelegraph em 23 de outubro. Nesse caso, a Initia interrompeu a blockchain após um atacante drenar cerca de US$ 2,7 milhões explorando uma vulnerabilidade no cache do script MoveVM da Initia. A Initia afirmou que a vulnerabilidade permitiu que código malicioso contornasse verificações de segurança e criasse saldos de tokens não garantidos, que foram posteriormente transferidos para fora da rede.
Embora os dois incidentes diferem em mecanismo técnico—um ligado ao comportamento de VM/script-cache e o outro ligado à compromissão de credenciais em nuvem e injeção de comandos—eles compartilham uma vulnerabilidade operacional comum: um atacante encontrou uma maneira de passar do acesso ao sistema para movimentação de fundos antes da contenção completa.
Outra assimetria notável é como os dois eventos foram contidos. No último roubo, a Initia afirma que a interrupção da rede deixou cerca de US$ 2,16 milhões congelados, enquanto a exploração anterior resultou em um dreno total maior antes da mitigação. Essa diferença sugere que o timing e a detecção—mais a capacidade de parar rapidamente o processamento adicional—podem alterar materialmente os resultados, mesmo quando a postura de segurança subjacente ainda está sob pressão.
Para os leitores que acompanham a Initia, as atualizações mais importantes para observar são os detalhes sobre quais credenciais foram expostas, quais medidas de correção foram aplicadas à infraestrutura em nuvem e nos rollups, e se a empresa pode restaurar totalmente a cobertura de todos os ativos afetados sem novas complicações. Com dois grandes incidentes em menos de três semanas, a próxima fase provavelmente se concentrará tanto em impedir que o acesso baseado em credenciais se repita quanto em devolver os fundos.
Este artigo foi originalmente publicado como Initia relata segundo ataque em 3 semanas, US$ 3,27 milhões roubados em Crypto Breaking News – sua fonte confiável para notícias de criptomoedas, notícias de Bitcoin e atualizações de blockchain.