Initia повідомляє про другий вилучення за 3 тижні, вкрадено $3,27 млн

Initia, блокчейн першого рівня, підтвердила, що зазнала другого втручання в безпеку менше ніж за три тижні: зловмисник вкрав криптоактиви на суму близько 3,27 мільйона доларів США, скомпрометувавши хмарну інфраструктуру мережі.

Останній інцидент підкреслює постійний шаблон ризиків для систем web3: коли зловмисники отримують контроль над хмарою чи інструментами розробника, що стоять за блокчейном, вони можуть отримати доступ до облікових даних, підтвердити шахрайські дії та перемістити кошти — іноді навіть до того, як on-chain заходи безпеки зможуть повністю відреагувати.

• Initia стверджує, що нападник використав атаку через ін'єкцію команд, пов'язану з компрометованим ключем платформи Google Cloud, щоб отримати несанкціонований доступ.
• Порушення відкрило змінні середовища, які, за словами Initia, дозволили отримати доступ до його акаунтів GitHub і хмарних акаунтів, а також отримати додаткові облікові дані.
• Initia повідомляє, що шахрайські виведення через міжблокчейн-комунікацію (IBC) були підтверджені з п’яти ролапів, що призвело до порожніння ескроу акаунтів.
• Приблизно 2,16 мільйона доларів США з вкрадених коштів залишаються замороженими, оскільки Initia призупинила роботу мережі.
• Згідно з Initia, жодних токенів INIT не було знято.

Initia заявила у оновленні, опублікованому в середу, що нападник отримав несанкціонований доступ у понеділок за допомогою атаки через ін’єкцію команд, яка використовувала скомпрометований ключ платформи Google Cloud. Практично компанія описала компрометацію як подальше поширення за межі одного сервісу: вона зазначила, що нападник зміг переглядати змінні середовища, що надало шлях до додаткових систем.

За даними Initia, відкриті змінні середовища дозволили атакувачеві отримати доступ до його акаунтів GitHub та хмари, а також отримати додаткові облікові дані. Цей розширений доступ допоміг атакувачеві перейти від вторгнення до виконання — досягнувши операційних компонентів, пов’язаних із обробкою активності rollup у мережі.

Initia зазначила, що нападник отримав доступ до Anvil — платформи, використовуваної для розгортання ролапів, а потім підтвердив фальшиві IBC виведення з п’яти ролапів. Це спричинило виведення активів, що зберігалися на ескроу акаунтах Initia.

У своєму звіті про крадіжку Initia зазначила, що вкрадені активи включали кілька позицій стейблкоїнів та обгорнуті версії, зареєстровані різними номіналами. Вона повідомила, що приблизно 2,16 мільйона доларів США залишаються замороженими на її зупиненій мережі.

Initia додала, що нападник продав активи на своїй децентралізованій біржі та вивів наступні суми: 13 400 TIA, 8 000 USDC, 597 000 Noble USDC. Компанія також зазначила, що жодних токенів INIT не було вкрадено.

Initia повідомила, що призупинила свою мережу рівня 1 у вівторок. Призупинення спрямоване на запобігання подальшій обробці скомпрометованих робочих процесів під час виконання заходів з відновлення, зокрема коли можуть продовжуватися шахрайська перевірка повідомлень або виконання виведення коштів.

Initia заявила, що планує відновити забезпечення вплинутих активів, а роботи з відновлення продовжуються у співпраці з правоохоронними органами та партнерами з безпеки. Для інвесторів і користувачів ключовим питанням на найближчий термін є те, чи можна забезпечити заморожену частину на довгостроковій основі, а також наскільки швидко можна посилити решту компонентів системи — наприклад, інфраструктуру хостингу rollup та управління обліковими даними — проти того ж шляху атаки.

Цей інцидент відбувається після раніше розкритого використання вразливості Cointelegraph 23 жовтня. У тому випадку Initia призупинила блокчейн після того, як нападник вивів близько 2,7 мільйона доларів, використовуючи вразливість у кеші скриптів MoveVM Initia. Initia зазначила, що ця вразливість дозволяла шкідливому коду обходити перевірки безпеки та створювати непідтримувані баланси токенів, які потім були переведені за межі мережі.

Хоча ці два інциденти відрізняються технічним механізмом — один пов’язаний з поведінкою VM/кешу скриптів, а інший — з компрометацією хмарних облікових даних та ін’єкцією команд — вони мають спільну операційну вразливість: зловмисник знайшов спосіб перейти від доступу до системи до переміщення коштів до повного виявлення.

Ще одна помітна асиметрія полягає в тому, як були локалізовані обидва випадки. У найсвіжішому кражі Initia повідомляє, що зупинка мережі залишила замороженими близько $2,16 мільйона, тоді як раніше використаний експлойт призвів до більшого загального виведення коштів до заходів щодо зменшення шкоди. Ця різниця свідчить про те, що час виявлення та швидкість зупинки подальшої обробки можуть суттєво змінити результати, навіть коли основна безпека все ще перебуває під тиском.

Для читачів, які стежать за Initia, найважливішими оновленнями, за якими слід стежити, є деталі того, які облікові дані були скомпрометовані, які заходи з усунення наслідків були застосовані до хмарної та ролап-інфраструктури, і чи зможе компанія повністю відновити забезпечення всіх постраждалих активів без нових ускладнень. З двома серйозними інцидентами менше ніж за три тижні, наступний етап, ймовірно, зосередиться стільки ж на запобіганні повторенню доступу на основі облікових даних, скільки і на поверненні коштів.

Цю статтю спочатку опубліковано як Initia повідомляє про другий витік за 3 тижні, вкрадено $3,27 млн на Crypto Breaking News – вашому надійному джерелі новин про криптовалюти, новин про bitcoin та оновлень блокчейну.