Initia, một blockchain lớp-1, đã xác nhận rằng họ đã trải qua cuộc xâm phạm bảo mật thứ hai trong chưa đầy ba tuần, với kẻ tấn công đánh cắp khoảng 3,27 triệu USD tài sản kỹ thuật số sau khi xâm nhập vào cơ sở hạ tầng đám mây của mạng lưới. Sự cố này xảy ra sau một vụ khai thác trước đó vào ngày 23 tháng 10, làm cạn kiệt khoảng 2,7 triệu USD.
Theo tài khoản của Initia, kẻ tấn công đã giành quyền truy cập trái phép vào thứ Hai thông qua một cuộc tấn công chèn lệnh liên quan đến chìa khóa Google Cloud Platform bị xâm phạm. Initia cho biết vụ vi phạm đã làm lộ các biến môi trường, cho phép tác nhân tiếp cận các tài khoản GitHub và đám mây của họ, đồng thời sử dụng thêm thông tin xác thực để xâm nhập sâu hơn vào hệ sinh thái.
Những điểm chính
- Initia cho biết một sự cố tiêm lệnh liên quan đến khóa GCP bị xâm phạm đã dẫn đến việc truy cập vào các tài khoản GitHub và đám mây của họ.
- Kẻ tấn công đã xác minh các giao dịch rút IBC gian lận từ năm rollup, giải phóng tiền từ các tài khoản ký quỹ của Initia.
- Initia báo cáo rằng khoảng 2,16 triệu USD tài sản bị đánh cắp vẫn bị khóa trên mạng lưới đã bị ngừng hoạt động.
- Mạng lưới đã ngừng hoạt động và đang nỗ lực khôi phục sự đảm bảo cho các tài sản bị ảnh hưởng.
- Điều này xảy ra ngay sau vụ khai thác vào ngày 23 tháng 10 đã rút khoảng 2,7 triệu đô la thông qua lỗ hổng trong bộ nhớ đệm script MoveVM của Initia.
Điều Initia nói đã sai sót trong vụ xâm phạm thứ hai
Trong bản cập nhật, Initia cho biết điểm xâm nhập của kẻ tấn công là kỹ thuật tiêm lệnh sử dụng khóa bị xâm phạm của Google Cloud Platform. Sau khi xâm nhập, sự cố đã làm lộ các biến môi trường. Initia cho biết những biến bị lộ này cung cấp quyền truy cập vào môi trường GitHub và đám mây của họ, cũng như khả năng lấy thêm các thông tin xác thực khác.
Từ đó, kẻ tấn công đã tiếp cận Anvil, một nền tảng lưu trữ các rollup. Initia thêm rằng tác nhân sau đó đã sử dụng quyền truy cập này để xác thực các giao dịch rút tiền giả mạo qua Giao tiếp Liên Blockchain (IBC) từ năm rollup—kích hoạt việc giải phóng tài sản được giữ trong các tài khoản ký quỹ của mạng lưới.
Di chuyển vốn, loại tài sản và vị trí tổn thất
Initia ước tính khoảng 2,16 triệu USD tài sản bị đánh cắp hiện đang bị phong tỏa do mạng lưới đã bị ngừng hoạt động. Công ty cũng cung cấp chi tiết về cách kẻ tấn công chuyển đổi và phân phối một phần số tiền bị đánh cắp.
Initia cho biết kẻ tấn công đã bán tài sản trên sàn giao dịch phi tập trung của họ và rút các số tiền cụ thể, bao gồm 13.400 TIA, 8.000 USDC và 597.000 Noble USDC. Initia cũng nhấn mạnh rằng không có token INIT nào bị rút ra.
Mặc dù tổng dòng chảy vượt quá phần bị phong tỏa không được phân tích chi tiết trong bản cập nhật của Initia, các con số mà họ chia sẻ mang đến cho nhà đầu tư hình ảnh rõ ràng hơn về hỗn hợp tài sản liên quan—đặc biệt là sự hiện diện của nhiều đơn vị stablecoin cùng với TIA.
Đang tiến hành dừng và phục hồi mạng
Initia cho biết đã tạm dừng layer-1 vào thứ Ba. Công ty cho biết ưu tiên của họ là khôi phục sự đảm bảo cho các tài sản bị ảnh hưởng bởi sự vi phạm.
Initia cũng cho biết các nỗ lực khôi phục đang được tiến hành cùng với các cơ quan thực thi pháp luật và đối tác bảo mật. Đối với người dùng và nhà cung cấp thanh khoản, việc tạm dừng thường làm giảm ngay lập tức rủi ro về các thay đổi trạng thái hoặc rút tiền thêm, nhưng cũng có thể làm chậm quá trình hoàn trả và giao dịch. Điều đó khiến thời gian biểu để khôi phục và cách Initia chứng minh sự đảm bảo tài sản trở nên đặc biệt quan trọng để theo dõi.
Cuộc khai thác trước đây làm nổi bật một mô hình thất bại lặp lại
Vi phạm mới xảy ra sau sự cố ngày 23 tháng 10, khi một kẻ tấn công đã rút khoảng 2,7 triệu đô la Mỹ sau khi khai thác lỗ hổng trong bộ nhớ đệm script MoveVM của Initia. Trong trường hợp trước đó, mã độc được cho là đã bỏ qua các kiểm tra bảo mật và tạo ra số dư token không được đảm bảo, sau đó được chuyển ra khỏi mạng.
Được kết hợp lại, hai sự cố này cho thấy các con đường kỹ thuật khác nhau dẫn đến tổn thất—đầu tiên thông qua lỗ hổng bộ nhớ đệm script MoveVM và thao túng số dư token, và bây giờ thông qua việc bị xâm phạm khóa đám mây dẫn đến các khoản rút IBC gian lận. Tuy nhiên, kết quả lặp lại là tương tự: kẻ tấn công đã có thể chuyển tài sản ra khỏi kho hoặc ra khỏi hệ thống.
Đối với các chủ sở hữu, câu hỏi then chốt là liệu các điểm yếu nền tảng có mang tính vận hành (như xử lý thông tin xác thực và các biện pháp kiểm soát bảo mật đám mây) cũng như cấp độ giao thức (như tính toàn vẹn của hợp đồng và thực thi) hay không. Các điểm tài khoản hiện tại của Initia cho thấy chìa khóa hạ tầng bị xâm phạm và các biến môi trường bị lộ, gợi ý rằng chuỗi tấn công bắt đầu từ các thành phần ngoài chuỗi trước khi tiến tới các luồng thanh toán trên chuỗi.
Điều mà người đọc nên theo dõi tiếp theo
Các nhà đầu tư và người dùng nên theo dõi cách Initia định lượng tổng mức phơi nhiễm trên năm rollup bị ảnh hưởng, quy trình và lịch trình khôi phục tài sản đảm bảo, cũng như bất kỳ chi tiết công khai nào về các bước ứng phó sự cố nhằm giảm thiểu khả năng tái diễn các lỗi kiểm soát truy cập. Các bản cập nhật tiếp theo sẽ quan trọng không chỉ về mặt khắc phục mà còn về tính minh bạch—đặc biệt trong việc xác định liệu các khoản tiền bị phong tỏa có thể được hạch toán và hoàn trả an toàn một khi hệ thống được kích hoạt lại hay không.
Bài viết này ban đầu được xuất bản dưới tiêu đề Initia báo cáo vụ tấn công thứ hai trong 3 tuần, mất $3,27 triệu trong cuộc tấn công trên Crypto Breaking News – nguồn tin crypto đáng tin cậy của bạn về tin tức crypto, tin tức Bitcoin và cập nhật blockchain.