Initia, một blockchain lớp 1, xác nhận đã trải qua vụ khai thác bảo mật thứ hai trong chưa đầy ba tuần, khi một kẻ tấn công đánh cắp khoảng 3,27 triệu đô la Mỹ tài sản tiền điện tử sau khi xâm nhập vào cơ sở hạ tầng đám mây của mạng lưới.
Sự cố mới nhất làm nổi bật mô hình rủi ro kéo dài đối với các hệ thống web3: một khi kẻ tấn công kiểm soát được đám mây hoặc công cụ phát triển phía sau blockchain, chúng có thể tiếp cận thông tin xác thực, xác thực các hành động gian lận và di chuyển tiền—đôi khi ngay cả trước khi các biện pháp phòng vệ trên blockchain có thể phản ứng đầy đủ.
Những điểm chính
- Initia cho biết kẻ tấn công đã sử dụng cuộc tấn công chèn lệnh liên quan đến khóa nền tảng Google Cloud bị xâm phạm để truy cập trái phép.
- Lỗ hổng đã làm lộ các biến môi trường, mà Initia cho biết đã cho phép truy cập vào các tài khoản GitHub và đám mây của họ cũng như lấy được các thông tin xác thực khác.
- Initia báo cáo rằng các giao dịch rút tiền giao tiếp liên blockchain (IBC) gian lận đã được xác thực từ năm rollup, làm cạn kiệt tài sản từ các tài khoản ký quỹ.
- Khoảng 2,16 triệu USD trong số các quỹ bị đánh cắp vẫn bị phong tỏa vì Initia đã tạm dừng mạng lưới.
- Theo Initia, không có token INIT nào được rút ra.
Cuộc khai thác thứ hai nhắm vào quyền truy cập đám mây và thông tin xác thực
Initia cho biết trong bản cập nhật đăng vào thứ Tư rằng kẻ tấn công đã truy cập trái phép vào thứ Hai thông qua một cuộc tấn công chèn lệnh liên quan đến khóa bị xâm phạm trên Google Cloud Platform. Về mặt thực tế, công ty mô tả sự xâm phạm này vượt quá một dịch vụ duy nhất: họ cho biết kẻ tấn công có thể xem các biến môi trường, từ đó tạo ra đường dẫn để tiếp cận các hệ thống khác.
Theo Initia, các biến môi trường bị lộ cho phép kẻ tấn công truy cập vào tài khoản GitHub và tài khoản đám mây của họ, đồng thời lấy được thêm các thông tin xác thực. Việc mở rộng quyền truy cập này giúp kẻ tấn công chuyển từ xâm nhập sang thực thi — tiếp cận các thành phần vận hành kết nối với cách mạng xử lý hoạt động rollup.
Rút tiền IBC gian lận thông qua cơ sở hạ tầng rollup
Initia cho biết kẻ tấn công đã truy cập vào Anvil, một nền tảng được sử dụng để lưu trữ rollups, sau đó xác minh các giao dịch rút tiền IBC gian lận từ năm rollups. Bằng cách này, kẻ tấn công đã kích hoạt các giao dịch rút tài sản được giữ trong các tài khoản ký quỹ của Initia.
Trong báo cáo về vụ trộm, Initia cho biết tài sản bị đánh cắp bao gồm nhiều khoản nắm giữ stablecoin và các phiên bản được đóng gói được ghi nhận qua nhiều đơn vị khác nhau. Công ty báo cáo rằng khoảng 2,16 triệu USD vẫn bị phong tỏa trên mạng lưới đã bị ngừng hoạt động.
Initia cũng cho biết kẻ tấn công đã bán tài sản trên sàn giao dịch phi tập trung của họ và rút các số tiền sau: 13.400 TIA, 8.000 USDC, 597.000 Noble USDC. Công ty cũng lưu ý rằng không có token INIT nào bị lấy đi.
Ngừng hoạt động mạng và các nỗ lực khôi phục bắt đầu
Initia cho biết đã tạm dừng mạng layer-1 của họ vào thứ Ba. Việc tạm dừng này nhằm ngăn chặn việc xử lý thêm các quy trình bị xâm phạm trong khi các hành động khôi phục đang được thực hiện, đặc biệt là khi việc xác thực tin nhắn gian lận hoặc thực hiện rút tiền có thể tiếp tục diễn ra.
Initia cho biết họ có kế hoạch khôi phục sự đảm bảo cho các tài sản bị ảnh hưởng và các nỗ lực phục hồi đang được tiến hành cùng với các cơ quan thực thi pháp luật và đối tác bảo mật. Đối với các nhà đầu tư và người dùng, câu hỏi quan trọng trong ngắn hạn là liệu phần bị phong tỏa có thể được bảo vệ lâu dài hay không và các thành phần còn lại của hệ thống—như cơ sở hạ tầng lưu trữ rollup và quản lý thông tin xác thực—có thể được củng cố chống lại cùng một lối tấn công nhanh đến mức nào.
Vụ khai thác vào ngày 23 tháng 10 trước đây cho thấy một chủ đề vi phạm lặp lại
Sự cố này xảy ra sau vụ khai thác trước đó được Cointelegraph tiết lộ vào ngày 23 tháng 10. Trong trường hợp đó, Initia đã ngừng hoạt động blockchain sau khi một kẻ tấn công rút khoảng 2,7 triệu đô la bằng cách khai thác lỗ hổng trong bộ nhớ đệm script MoveVM của Initia. Initia cho biết lỗ hổng này cho phép mã độc hại bỏ qua các kiểm tra bảo mật và tạo ra số dư token không được đảm bảo, sau đó được chuyển ra ngoài mạng lưới.
Mặc dù hai sự cố này khác nhau về cơ chế kỹ thuật—một liên quan đến hành vi của VM/script-cache và另一个 liên quan đến việc xâm phạm quyền truy cập đám mây và tiêm lệnh—chúng đều chia sẻ một lỗ hổng vận hành chung: kẻ tấn công đã tìm ra cách di chuyển từ việc truy cập hệ thống sang việc chuyển tiền trước khi được kiểm soát hoàn toàn.
Một sự bất đối xứng đáng chú ý khác là cách hai sự kiện này được kiểm soát. Trong vụ trộm mới nhất, Initia cho biết việc ngừng mạng đã làm đóng băng khoảng 2,16 triệu USD, trong khi vụ khai thác trước đó dẫn đến lượng rút lớn hơn trước khi có biện pháp khắc phục. Sự khác biệt này cho thấy rằng thời điểm và việc phát hiện—cùng khả năng ngừng nhanh chóng các xử lý tiếp theo—có thể thay đổi đáng kể kết quả, ngay cả khi tư thế bảo mật cơ bản vẫn đang chịu áp lực.
Đối với những người theo dõi Initia, những cập nhật quan trọng nhất cần theo dõi là chi tiết về các thông tin xác thực nào đã bị lộ, những bước khắc phục nào đã được áp dụng cho cơ sở hạ tầng đám mây và rollup, và liệu công ty có thể khôi phục hoàn toàn tài sản đảm bảo cho tất cả các tài sản bị ảnh hưởng mà không gặp phải các vấn đề mới hay không. Với hai sự cố lớn xảy ra trong chưa đầy ba tuần, giai đoạn tiếp theo có khả năng sẽ tập trung nhiều vào việc ngăn chặn việc truy cập dựa trên chứng chỉ tái diễn cũng như việc hoàn trả tiền.
Bài viết này ban đầu được xuất bản dưới tiêu đề Initia báo cáo vụ khai thác thứ hai trong 3 tuần, $3,27 triệu bị đánh cắp trên Crypto Breaking News – nguồn tin crypto đáng tin cậy của bạn về tin tức crypto, tin tức Bitcoin và cập nhật blockchain.