Initia erneut gehackt: 3,27 Millionen Dollar wurden weniger als drei Wochen nach dem ersten Angriff abgezogen

Initia wurde nun innerhalb von weniger als drei Wochen bereits zweimal angegriffen. Beim ersten Mal lag das Problem in einem Fehler in der virtuellen Maschine des Unternehmens. Diesmal hat der Angreifer die VM gar nicht erst angegriffen, sondern ist stattdessen über einen Cloud-Schlüssel eingedrungen.

Die von Binance Labs unterstützte Layer-1-Lösung, die auf einem Netzwerk miteinander verbundener Rollups basiert, bestätigte am Mittwoch, dass ein Angreifer Vermögenswerte im Wert von rund 3,27 Millionen US-Dollar aus ihren Treuhandkonten abgezogen hat, wie Cointelegraph berichtete. Etwa 2,16 Millionen US-Dollar davon sind nach wie vor in der Blockchain gebunden, deren Betrieb seit Dienstag unterbrochen ist.

Wie der Angreifer eindrang

Laut Initias eigener Analyse auf X begann der Angriff am Montag, dem 9. November. Der Angreifer nutzte einen Command-Injection-Angriff in Verbindung mit einem kompromittierten Schlüssel der Google Cloud Platform. ChainCatcher berichtet unter Berufung auf denselben Bericht, dass es sich um einen Schlüssel handelte, der zur Konfiguration privater Knoten verwendet wurde. Durch den Angriff wurden Umgebungsvariablen offengelegt, die den Zugriff auf die GitHub- und Cloud-Konten von Initia sowie weitere Anmeldedaten ermöglichten.

Nächster Halt war Anvil, die Plattform, auf der die Rollups von Initia gehostet werden. Von dort aus validierte der Angreifer betrügerische IBC-Abhebungen aus fünf Rollups, wodurch jeweils die in den Treuhandkonten der L1 gehaltenen Vermögenswerte freigegeben wurden. In der ersten Stellungnahme von Initia am Dienstag wurde laut Protos beschrieben, dass kompromittierte Rollup-Infrastruktur-Schlüssel es einem Angreifer ermöglichten, IBC-Transfers zu fälschen.

Der Angreifer verkaufte die Vermögenswerte anschließend auf Initias eigener DEX und hob 13.400 TIA, 8.000 USDC.inj und 597.000 Noble USDC ab. Es verließen keine INIT die Blockchain. Initia gibt an, die Deckung der betroffenen Vermögenswerte wiederherstellen zu wollen, und dass die Wiederherstellungsarbeiten gemeinsam mit Strafverfolgungsbehörden und Sicherheitspartnern im Gange sind.

Welche Zahl stimmt?

Das hängt davon ab, an welchem Tag man dies liest. Der Beitrag vom Dienstag zur Unterbrechung bezifferte den Betrag, der die Kette verlassen hatte, auf 615.000 US-Dollar – etwa 605.000 US-Dollar in USDC und 10.000 US-Dollar in anderen Token – und gab an, dass der Großteil dessen, was das Treuhandkonto verlassen hatte, sich noch bei Initia befand. Das Update vom Mittwoch erhöhte die Zahl auf 3,27 Millionen Dollar, die auf die Adresse des Angreifers auf der L1 transferiert wurden, wobei 2,16 Millionen Dollar eingefroren sind. Die oben aufgeführten abgehobenen Token stimmen in etwa mit der Bilanz vom Dienstag überein, sodass die beiden Zahlen offenbar unterschiedliche Dinge messen: das, was aus der Blockchain entkommen ist, im Vergleich zu allem, was der Angreifer angefasst hat.

Die Gesamtsumme ist ebenso schwer zu fassen. Protos addierte die 615.000 USD vom Dienstag zu den 2,7 Millionen USD vom Oktober und kam auf etwa 3,3 Millionen USD. Rechnet man stattdessen die neuen 3,27 Millionen Dollar hinzu, ergibt sich – wie von FinanceFeeds berechnet – ein Gesamtbetrag von rund 5,97 Millionen Dollar für beide Vorfälle. Initia hat für keinen der beiden Vorfälle eine endgültige Abrechnung veröffentlicht.

Der erste Exploit, drei Wochen zuvor

Am 23. Oktober stellte Initia um 15:41 Uhr UTC seinen L1-Betrieb und die Rollups ein. Der Sicherheitsforscher Spreek machte als Erster auf den Exploit aufmerksam und meldete die unbefugte Prägung von Token. D2 Finance ermittelte daraufhin den Schaden: 2 Millionen nicht gedeckte AUSD, wobei etwa 1,4 Millionen AUSD, 105 ETH und 1,08 Millionen USDC auf Ethereum übertragen und in einer Wallet mit rund 1.135,5 ETH konsolidiert wurden, die zu diesem Zeitpunkt einen Wert von 2,73 Millionen US-Dollar hatte.

In dem Update von Initia vom 24. Oktober wurde die Ursache auf einen Caching-Fehler in einem Skript von MoveVM zurückgeführt, der es dem Angreifer ermöglichte, den Chain-Status zu fälschen und sich ungedeckte WETH, iUSD und USDC gutzuschreiben. Das Netzwerk wurde am 2. November wieder in Betrieb genommen. Der Vorfall dauerte acht Tage.

Reaktionen

Die Nutzer nahmen keine Rücksicht. Laut Protos forderte ein Account die Abschaltung der Chain, und ein anderer beschuldigte das Team, es handele sich um einen Insider-Job. Ich konnte keine Veröffentlichungen finden, die diese Behauptung stützen, daher sollte man dies als Anschuldigung betrachten und nicht mehr.

Noch seltsamer ist das Diagramm. Laut Protos und crypto.news stieg INIT in den 24 Stunden nach der Unterbrechung um rund 60% – und das auf einer Blockchain, auf der nichts bewegt werden konnte. Ein Nutzer auf X vermutete einen „Crime Pump “. Protos merkt außerdem an, dass die TVL von Initia laut DefiLlama gegenüber ihrem Höchststand nach dem Start im Mai 2025 um mehr als 90% gesunken ist und dass die Verluste aus den beiden Vorfällen mittlerweile den verbleibenden Wert auf der Blockchain übersteigen.

Worauf ich immer wieder zurückkomme

Die beiden Exploits weisen keine technischen Überschneidungen auf. Der Angriff im Oktober traf die Ausführungsebene. Der Angriff im November traf das dahinterliegende Cloud-Konto. Initias Konzept basiert auf anwendungsspezifischen Blockchains, die über IBC miteinander verbunden sind, und dieses Design schafft viele Stellen, an denen Vertrauen erforderlich ist. FinanceFeeds weist darauf hin, dass ein kompromittierter Cloud-Schlüssel ausreichte, um mehrere dieser Grenzen gleichzeitig zu überschreiten.

Das ist auch meine Einschätzung, und sie ist beunruhigend. Ein Fix für einen VM-Fehler – selbst wenn dieser geprüft wurde – ändert nichts an einem durchgesickerten Zugangsdatensatz, mit dem Auszahlungen aus fünf Rollups autorisiert werden können. Das Team verbrachte zehn Tage damit, das erste Problem zu beheben, und erreichte acht Tage Betriebszeit, bevor das zweite Problem auftrat.

Initia gibt an, die betroffene Infrastruktur in einer isolierten Umgebung neu aufzubauen, und dass der Neustart länger dauern wird als ein normaler Reboot. Bis Mittwoch steht noch kein Termin für den Neustart fest. Bis dahin bewegt sich nichts auf der L1 oder ihren Rollups, einschließlich der 2,16 Millionen Dollar, die eingefroren sind.