Environ 3,27 millions de dollars ont été dérobés à Initia. Le problème venait-il du contrat ? Selon l’analyse officielle, non : une clé d’accès à un service cloud avait fuité.
Initia a annoncé ce matin sur X que, le 9 novembre, l’attaquant avait pénétré dans son infrastructure en combinant une injection de commandes et une clé GCP compromise. Il a ensuite obtenu l’accès à GitHub, aux comptes GCP et à d’autres identifiants, puis s’est introduit dans Anvil, la plateforme d’hébergement des rollups. Il a falsifié des retraits IBC pour cinq rollups et déverrouillé les actifs des comptes de dépôt de la L1.
Environ 3,27 millions de dollars d’actifs ont été transférés à l’adresse de l’attaquant. Environ 2,16 millions de dollars se trouvent toujours sur la L1 suspendue et sont inaccessibles. L’équipe affirme que l’attaquant n’a pas retiré d’INIT et indique qu’elle prévoit de rétablir intégralement l’ancrage des actifs touchés. Le plan sera annoncé une fois confirmé. La L1 a été suspendue le 10 novembre à 14 h 18, heure de Pékin. Elle est en cours de reconstruction à partir de zéro dans un environnement isolé ; le rétablissement prendra plus de temps qu’un redémarrage habituel.
Pour résumer : même le code le plus robuste ne sert à rien si les clés sont mal protégées. Ce que les utilisateurs ordinaires peuvent faire : se fier uniquement aux annonces des canaux officiels d’Initia et ne cliquer sur aucun lien du type « réclamer une indemnisation ».
#安全 #跨链 #Initia #IBC
$INIT
Initia a annoncé ce matin sur X que, le 9 novembre, l’attaquant avait pénétré dans son infrastructure en combinant une injection de commandes et une clé GCP compromise. Il a ensuite obtenu l’accès à GitHub, aux comptes GCP et à d’autres identifiants, puis s’est introduit dans Anvil, la plateforme d’hébergement des rollups. Il a falsifié des retraits IBC pour cinq rollups et déverrouillé les actifs des comptes de dépôt de la L1.
Environ 3,27 millions de dollars d’actifs ont été transférés à l’adresse de l’attaquant. Environ 2,16 millions de dollars se trouvent toujours sur la L1 suspendue et sont inaccessibles. L’équipe affirme que l’attaquant n’a pas retiré d’INIT et indique qu’elle prévoit de rétablir intégralement l’ancrage des actifs touchés. Le plan sera annoncé une fois confirmé. La L1 a été suspendue le 10 novembre à 14 h 18, heure de Pékin. Elle est en cours de reconstruction à partir de zéro dans un environnement isolé ; le rétablissement prendra plus de temps qu’un redémarrage habituel.
Pour résumer : même le code le plus robuste ne sert à rien si les clés sont mal protégées. Ce que les utilisateurs ordinaires peuvent faire : se fier uniquement aux annonces des canaux officiels d’Initia et ne cliquer sur aucun lien du type « réclamer une indemnisation ».
#安全 #跨链 #Initia #IBC
$INIT
