Initia, блокчейн першого рівня, підтвердила, що зазнала другої кібератаки менш ніж за три тижні: зловмисник вкрав близько 3,27 мільйона доларів США цифрових активів, скомпрометувавши хмарну інфраструктуру мережі. Цей інцидент відбувся після попередньої атаки 23 жовтня, під час якої було викрадено близько 2,7 мільйона доларів США.
За даними акаунту Initia, нападник отримав несанкціонований доступ у понеділок завдяки атакі з ін’єкцією команд, пов’язаній з компрометованим ключем платформи Google Cloud. Initia повідомляє, що в результаті порушення були відкриті змінні середовища, що дозволило зловмиснику отримати доступ до його акаунтів GitHub та хмари та використати додаткові облікові дані для глибшого проникнення в екосистему.
Основні висновки
- Initia повідомляє, що інцидент ін'єкції команд, пов'язаний з компрометованим ключем GCP, призвів до доступу до її акаунтів GitHub та хмари.
- Зловмисник підтвердив фальшиві виведення IBC з п’яти ролапів, вивівши кошти з ескроу-акаунтів Initia.
- Initia повідомляє, що майно на суму $2,16 мільйона залишається замороженим на призупиненій мережі.
- Мережа призупинила роботу і працює над відновленням забезпечення вплинутих активів.
- Це відбулося всього через декілька днів після експлойту 23 жовтня, під час якого було викрадено близько 2,7 мільйона доларів завдяки вразливості у кеші скриптів MoveVM Initia.
Що Initia сказала, що пішло не так під час другого порушення
У своєму оновленні Initia зазначає, що точкою входу для нападника була техніка ін’єкції команд, яка використовувала скомпрометований ключ платформи Google Cloud. Ввійшовши всередину, нападник отримав доступ до змінних середовища. Initia повідомляє, що ці виставлені змінні надали доступ до їхнього GitHub та хмарних середовищ, а також можливість отримати додаткові облікові дані.
Звідти атакувач отримав доступ до Anvil — платформи, яка розміщує ролапи. Initia додає, що потім зловмисник використав цей доступ для підтвердження шахрайських виведень через міжблокчейн-комунікацію (IBC) з п’яти ролапів — що спричинило вивільнення активів, що знаходились на ескроу-акаунтах мережі.
Рух коштів, типи активів та рівень збитків
Initia оцінює, що близько 2,16 мільйона доларів США з вкрадених активів зараз заморожені, оскільки мережа була зупинена. Компанія також надала деталі щодо того, як нападник перетворив і розподілив частину вкрадених коштів.
Initia повідомляє, що нападник продав активи на своїй децентралізованій біржі та вивів конкретні суми, включаючи 13 400 TIA, 8 000 USDC та 597 000 Noble USDC. Initia також підкреслила, що жодні токени INIT не були виведені.
Хоча точний загальний обсяг потоків за межами замороженої частини не був повністю розбитий у оновленні Initia, наведені ними дані дають інвесторам яснішу картину складу активів — зокрема наявність кількох одиниць стейблкоїнів разом із TIA.
Зупинка мережі та роботи з відновленням в процесі
Initia сказала, що зупинила layer-1 у вівторок. Компанія зазначила, що її пріоритетом є відновлення забезпечення активів, які постраждали від порушення.
Initia також зазначила, що робота з відновленням триває у співпраці з правоохоронними органами та партнерами з безпеки. Для користувачів та постачальників ліквідності призупинення зазвичай зменшує негайний ризик подальших змін стану або виведень, але також може затримувати викуп та торгівлю. Тому важливо стежити за розкладом відновлення та тим, як Initia підтвердить забезпечення активів.
Раніше використання вразливості підкреслює повторюваний шаблон невдач
Нарушення відбулося після інциденту 23 жовтня, коли нападник вивів близько 2,7 мільйона доларів США, використавши вразливість у кеші скриптів MoveVM Initia. У цьому ранішньому випадку зловмисний код, як повідомляється, обійшов перевірки безпеки та створив непідтримувані баланси токенів, які потім були переведені за межі мережі.
Разом обидва інциденти демонструють різні технічні шляхи до втрати: спочатку через ваду кешу MoveVM та маніпуляції з балансом токенів, а зараз — через компрометацію хмарного ключа, що призвела до шахрайських виведень через IBC. Однак повторюваний результат схожий: зловмисникам вдалося перемістити активи з ескроу або за межі системи.
Для власників ключовим питанням є те, чи є основні слабкі місця операційними (наприклад, обробка облікових даних та контроль безпеки хмарних середовищ), а також на рівні протоколу (наприклад, цілісність контрактів та виконання). Поточний акаунт Initia безпосередньо вказує на скомпрометований ключ інфраструктури та відкриті змінні середовища, що свідчить про те, що ланцюжок атаки розпочався у позаланцюгових компонентах, перш ніж дійшов до ланцюгових процесів розрахунків.
Що читачам варто дивитися далі
Інвестори та користувачі повинні стежити за тим, як Initia кількісно оцінює загальний ризик по п’яти вплинутих ролапах, процес та терміни відновлення забезпечення, а також будь-які публічні деталі щодо кроків реагування на інцидент, які зменшать ймовірність повторних порушень контролю доступу. Наступні оновлення, ймовірно, матимуть таке саме значення щодо прозорості, як і щодо усунення наслідків — зокрема, для визначення того, чи можна безпечно облікувати та повернути заморожені кошти після відновлення роботи систем.
Цю статтю спочатку опубліковано як Initia повідомляє про другий вибух за 3 тижні, втрати на $3,27 млн у результаті атаки на Crypto Breaking News – вашому надійному джерелі новин про криптовалюти, новин про bitcoin та оновлень блокчейну.