11月11日，公链Initia承认又被黑了，三周内第二次，丢了约327万美元。黑客没碰链上代码，拿的是一把谷歌云的钥匙。
11月9日，黑客用命令注入拿到一把Initia开私有节点的谷歌云密钥，命令注入就是往系统里偷塞指令。顺着这把钥匙摸到环境变量，就是系统里藏账号密码的地方，又翻出更多凭证，一路摸进Initia的GitHub和云账号，最后摸到托管rollup的Anvil。
拿到Anvil之后，黑客伪造五个rollup的跨链提款，托管账户里的资产就被放出来了。Initia说，大约216万美元还冻在停掉的主网上，黑客在Initia自家交易所倒了一手，提走13400枚TIA、8000枚USDC.inj和59.7万枚Noble USDC。主网11月10日下午停掉，重启时间未定，Initia只表态会全额恢复背书。
上一次是10月23日，也是Initia，丢了约270万美元，原因是MoveVM脚本缓存漏洞。三周，两次，第一次是代码的洞，第二次是钥匙的洞。代码补上了，钥匙又丢了。
这事给散户的提醒就一句，项目方说代码审计过了，只能证明代码那一关过了，云钥匙、环境变量、托管平台、跨链托管账户都在审计报告外面，黑客专挑报告外面下手。
所以看一个项目安不安全，别只看它贴了几份审计报告，出事之后怎么办更重要。Initia这回停链够快，冻住的部分没流出去，但全额恢复还只是表态，钱到账才算数。要是你的资产放在一条小链的托管账户里，链一停钱就卡在里面提不出来，这才是要掂量的风险。
小凯的观点是，链上安全卷的是代码，可丢钱越来越多发生在代码外面，钥匙和运维才是最薄的那块板。
你平时会把资产放在小链或者新rollup的托管账户里吗？
—— web3韭菜小凯
本内容仅为个人观点分享，不构成投资建议，请自行判断。