Initia, блокчейн первого уровня, подтвердила, что стала жертвой второй атаки за менее чем три недели: злоумышленник похитил крипто активы на сумму около 3,27 млн долларов, скомпрометировав облачную инфраструктуру сети.
Последний инцидент подчеркивает устойчивую модель риска для систем web3: как только злоумышленники получают контроль над облачной инфраструктурой или инструментами разработки, стоящими за блокчейном, они могут потенциально получить доступ к учетным данным, подтвердить мошеннические действия и переместить средства — иногда даже до того, как защитные механизмы на цепочке смогут полностью среагировать.
Основные выводы
- Initia сообщает, что злоумышленник использовал атаку с внедрением команд, связанную с скомпрометированным ключом платформы Google Cloud Platform, чтобы получить несанкционированный доступ.
- Утечка раскрыла переменные среды, которые, по словам Initia, позволили получить доступ к его аккаунтам GitHub и облачным сервисам, а также извлечь дополнительные учетные данные.
- Initia сообщает, что мошеннические выводы через межблокчейн-коммуникацию (IBC) были подтверждены с пяти рулапов, опустошив эскроу-счета.
- Около 2,16 миллиона долларов США из похищенных средств остаются замороженными, поскольку Initia приостановила работу сети.
- Согласно Initia, токены INIT не были выведены.
Вторая уязвимость нацелена на доступ в облако и учетные данные
Initia сообщила в обновлении, опубликованном в среду, что злоумышленник получил несанкционированный доступ в понедельник с помощью атаки через инъекцию команд, связанной с скомпрометированным ключом платформы Google Cloud. Практически компания описала компрометацию как выходящую за рамки одного сервиса: она заявила, что злоумышленник смог просмотреть переменные среды, что дало ему доступ к дополнительным системам.
Согласно Initia, раскрытые переменные среды позволили злоумышленнику получить доступ к его аккаунтам GitHub и облачным аккаунтам, а также получить дополнительные учетные данные. Этот расширенный доступ помог злоумышленнику перейти от проникновения к выполнению — он получил доступ к операционным компонентам, связанным с обработкой активности рулапов в сети.
Мошеннические выводы IBC через инфраструктуру rollup
Initia заявила, что злоумышленник получил доступ к Anvil — платформе, используемой для развертывания роллапов, — а затем подтвердил мошеннические IBC-снятия с пяти роллапов. В результате этого злоумышленник инициировал снятие активов, хранящихся на эскроу-счетах Initia.
В своем отчете о краже Initia заявила, что похищенные активы включали несколько держав стейблкоинов и обернутые версии, зафиксированные в различных номиналах. Сообщается, что примерно 2,16 миллиона долларов США остаются замороженными на остановленной сети.
Инициа также сообщила, что злоумышленник продал активы на своей децентрализованной бирже и вывел следующие суммы: 13 400 TIA, 8 000 USDC, 597 000 Noble USDC. Компания также отметила, что INIT-токены не были похищены.
Остановка сети и начало усилий по восстановлению
Initia сообщила, что приостановила свою сеть уровня 1 во вторник. Приостановка направлена на предотвращение дальнейшей обработки скомпрометированных рабочих процессов во время проведения мер по восстановлению, особенно когда мошенническая валидация сообщений или выполнение вывода могут продолжаться.
Initia заявила, что планирует восстановить обеспечение затронутых активов, и что усилия по восстановлению продолжаются в сотрудничестве с правоохранительными органами и партнерами по безопасности. Для инвесторов и пользователей ключевой вопрос ближайшего срока заключается в том, можно ли надежно зафиксировать замороженную часть и насколько быстро можно укрепить остальные компоненты системы — такие как инфраструктура хостинга rollup и управление учетными данными — против того же вектора атаки.
Ранее взлом 23 октября показал повторяющуюся тему нарушений
Этот инцидент следует за ранее раскрытой уязвимостью, о которой сообщило Cointelegraph 23 октября. В том случае Initia приостановила блокчейн после того, как злоумышленник вывел около 2,7 млн долларов, воспользовавшись уязвимостью в кеше скриптов MoveVM Initia. Initia заявила, что уязвимость позволяла вредоносному коду обходить проверки безопасности и создавать неподкреплённые балансы токенов, которые затем были переведены за пределы сети.
Хотя эти два инцидента различаются по техническому механизму — один связан с поведением VM/кэша скриптов, а другой — с компрометацией облачных учетных данных и внедрением команд — они имеют общую операционную уязвимость: злоумышленник нашел способ перейти от доступа к системе к перемещению средств до полного устранения угрозы.
Еще одна заметная асимметрия заключается в том, как были локализованы два инцидента. При последнем краже Initia сообщает, что остановка сети привела к заморозке примерно 2,16 млн долларов, тогда как в более раннем эксплойте общий объем утечки был больше до применения мер по смягчению последствий. Это различие указывает на то, что своевременность и обнаружение, а также способность быстро остановить дальнейшую обработку, могут существенно изменить исход, даже когда базовая безопасность все еще находится под давлением.
Для читателей, следящих за Initia, наиболее важными обновлениями являются детали того, какие учетные данные были скомпрометированы, какие меры по устранению были применены к облачной и роллап-инфраструктуре, а также сможет ли компания полностью восстановить обеспечение всех затронутых активов без новых осложнений. С учетом двух серьезных инцидентов менее чем за три недели, следующий этап, вероятно, будет сосредоточен не только на возврате средств, но и на предотвращении повторения доступа на основе учетных данных.
Эта статья была первоначально опубликована как Initia сообщает о втором взломе за 3 недели: похищено 3,27 млн долларов на Crypto Breaking News — вашем надежном источнике новостей о криптовалютах, новостей о bitcoin и обновлений блокчейна.