A blockchain pública Initia, que oferece suporte à interoperabilidade entre Rollups, parou novamente. Em uma atualização da investigação publicada no X em 10 de novembro, a equipe disse que desta vez não houve uma vulnerabilidade de contrato: uma chave de nuvem vazada foi usada para falsificar saques entre blockchains.
Vamos aos detalhes:
1. Segundo a atualização oficial da Initia (reproduzida por PANews, ChainCatcher e 深潮 entre 10 e 11/11), a L1 foi pausada em coordenação com os validadores às 14h18 de 10 de novembro, horário de Pequim (06h18 UTC). A equipe afirmou que, em 9 de novembro, o invasor usou uma chave do GCP destinada à configuração de nós privados para acessar a infraestrutura por meio de injeção de comandos. Em seguida, obteve acesso ao GitHub, à conta do GCP e a outras credenciais, e entrou na plataforma de hospedagem de Rollups Anvil. Lá, validou saques IBC falsos para 5 Rollups, desbloqueando contas que mantinham ativos entre blockchains na L1.
2. A mesma atualização informa que cerca de US$ 3,27 milhões em ativos foram transferidos para um endereço do invasor na L1. Desse total, aproximadamente US$ 2,16 milhões continuam na blockchain pausada e, por enquanto, não podem ser movimentados. Depois de vender parte dos ativos roubados na DEX da Initia, o invasor já sacou 13,4 mil TIA, 8 mil USDC.inj e 597 mil Noble USDC, mas não transferiu INIT. A equipe afirmou que pretende restituir integralmente os ativos afetados e reconstruir a infraestrutura em um ambiente isolado. A retomada levará mais tempo do que uma pausa normal; os esforços para recuperar os fundos continuam com autoridades policiais e parceiros de segurança. Uma estimativa preliminar divulgada anteriormente se referia principalmente aos ativos que já tinham saído da blockchain: cerca de 605 mil USDC transferidos via Noble, além de aproximadamente US$ 10 mil em outros tokens.
3. Esta é a segunda pausa da L1 em menos de um mês. Segundo explicações anteriores da equipe, citadas por veículos como o CryptoPotato, em 23 de outubro uma vulnerabilidade no cache de scripts do MoveVM permitiu que o invasor emitisse WETH, iUSD e USDC sem reservas que os lastreassem. Cerca de US$ 2,7 milhões foram transferidos para fora da blockchain antes da pausa. Mais tarde, a fundação destinou fundos para recompor as reservas dos ativos afetados na proporção de 1:1. A rede só voltou a funcionar em 2 de novembro, após a aplicação de correções verificadas por uma auditoria independente. Esta pausa ocorreu apenas 8 dias depois da retomada.
Minha opinião: o comprometimento de chaves e da plataforma de hospedagem é mais complicado do que uma vulnerabilidade isolada de contrato, porque a superfície de ataque está na operação. A implementação de uma correção não significa que um invasor não possa voltar a entrar por meio de uma conta na nuvem. Ainda é preciso tentar recuperar as stablecoins e os TIA já sacados; quanto aos cerca de US$ 2,16 milhões que continuam na blockchain pausada, tudo dependerá de como serão tratados antes da retomada. Para os usuários comuns, o mais prudente é evitar depósitos, saques e transferências entre blockchains na Initia e nos Rollups associados até que a equipe anuncie a retomada e as medidas de compensação. Também não se deve interpretar “pretende restituir integralmente” como se os fundos já tivessem sido creditados.
Apenas uma compilação de informações divulgadas publicamente; não constitui recomendação de investimento.
$INIT $USDC
Vamos aos detalhes:
1. Segundo a atualização oficial da Initia (reproduzida por PANews, ChainCatcher e 深潮 entre 10 e 11/11), a L1 foi pausada em coordenação com os validadores às 14h18 de 10 de novembro, horário de Pequim (06h18 UTC). A equipe afirmou que, em 9 de novembro, o invasor usou uma chave do GCP destinada à configuração de nós privados para acessar a infraestrutura por meio de injeção de comandos. Em seguida, obteve acesso ao GitHub, à conta do GCP e a outras credenciais, e entrou na plataforma de hospedagem de Rollups Anvil. Lá, validou saques IBC falsos para 5 Rollups, desbloqueando contas que mantinham ativos entre blockchains na L1.
2. A mesma atualização informa que cerca de US$ 3,27 milhões em ativos foram transferidos para um endereço do invasor na L1. Desse total, aproximadamente US$ 2,16 milhões continuam na blockchain pausada e, por enquanto, não podem ser movimentados. Depois de vender parte dos ativos roubados na DEX da Initia, o invasor já sacou 13,4 mil TIA, 8 mil USDC.inj e 597 mil Noble USDC, mas não transferiu INIT. A equipe afirmou que pretende restituir integralmente os ativos afetados e reconstruir a infraestrutura em um ambiente isolado. A retomada levará mais tempo do que uma pausa normal; os esforços para recuperar os fundos continuam com autoridades policiais e parceiros de segurança. Uma estimativa preliminar divulgada anteriormente se referia principalmente aos ativos que já tinham saído da blockchain: cerca de 605 mil USDC transferidos via Noble, além de aproximadamente US$ 10 mil em outros tokens.
3. Esta é a segunda pausa da L1 em menos de um mês. Segundo explicações anteriores da equipe, citadas por veículos como o CryptoPotato, em 23 de outubro uma vulnerabilidade no cache de scripts do MoveVM permitiu que o invasor emitisse WETH, iUSD e USDC sem reservas que os lastreassem. Cerca de US$ 2,7 milhões foram transferidos para fora da blockchain antes da pausa. Mais tarde, a fundação destinou fundos para recompor as reservas dos ativos afetados na proporção de 1:1. A rede só voltou a funcionar em 2 de novembro, após a aplicação de correções verificadas por uma auditoria independente. Esta pausa ocorreu apenas 8 dias depois da retomada.
Minha opinião: o comprometimento de chaves e da plataforma de hospedagem é mais complicado do que uma vulnerabilidade isolada de contrato, porque a superfície de ataque está na operação. A implementação de uma correção não significa que um invasor não possa voltar a entrar por meio de uma conta na nuvem. Ainda é preciso tentar recuperar as stablecoins e os TIA já sacados; quanto aos cerca de US$ 2,16 milhões que continuam na blockchain pausada, tudo dependerá de como serão tratados antes da retomada. Para os usuários comuns, o mais prudente é evitar depósitos, saques e transferências entre blockchains na Initia e nos Rollups associados até que a equipe anuncie a retomada e as medidas de compensação. Também não se deve interpretar “pretende restituir integralmente” como se os fundos já tivessem sido creditados.
Apenas uma compilação de informações divulgadas publicamente; não constitui recomendação de investimento.
$INIT $USDC
