Публичный блокчейн Initia, созданный для интероперабельных роллапов, снова остановился. 10 ноября команда сообщила в X о ходе расследования: на этот раз причиной стала не уязвимость смарт-контракта, а утечка облачных ключей, которые использовали для подделки межсетевых выводов средств.
Кратко по пунктам:
1. Согласно официальному обновлению Initia (пересказано PANews, ChainCatcher и 深潮 10–11 ноября), L1 совместно с валидаторами остановили 10 ноября в 14:18 по пекинскому времени (06:18 UTC). По словам команды, 9 ноября злоумышленник воспользовался ключом GCP, предназначенным для настройки приватных узлов, и проник в инфраструктуру с помощью инъекции команд. Затем он получил доступ к аккаунтам GitHub и GCP и другим учётным данным, а также проник на платформу хостинга роллапов Anvil. Там он подтвердил поддельные выводы средств через IBC для 5 роллапов, разблокировав аккаунты с межсетевыми активами, хранившимися на L1.
2. В том же обновлении говорится, что активы на сумму около 3,27 млн долларов были переведены на адрес злоумышленника в L1. Примерно 2,16 млн долларов по-прежнему находятся в приостановленной сети, и пока их нельзя перевести. После продажи части украденных активов на DEX Initia злоумышленник уже вывел 13,4 тыс. TIA, 8 тыс. USDC.inj и 597 тыс. Noble USDC, но не переводил INIT. Команда заявила, что планирует полностью восстановить затронутые активы и перестроить инфраструктуру в изолированной среде; перезапуск займёт больше времени, чем обычное обслуживание. Работа по возврату средств продолжается совместно с правоохранительными органами и партнёрами по безопасности. В более ранней предварительной оценке учитывалась главным образом уже выведенная из сети часть: около 605 тыс. USDC были переведены через Noble, а также примерно 10 тыс. долларов в других токенах.
3. Это уже вторая остановка L1 менее чем за месяц. По данным CryptoPotato и других изданий, ссылающихся на прежнее заявление команды, 23 октября из-за уязвимости в кэше скриптов MoveVM злоумышленник выпустил WETH, iUSD и USDC, не обеспеченные резервами; до остановки сети из неё вывели активы примерно на 2,7 млн долларов. Позже фонд выделил средства, чтобы восстановить резервное обеспечение затронутых активов в соотношении 1:1. Сеть возобновила работу лишь 2 ноября, после исправления уязвимости и независимого аудита. С момента перезапуска до нынешней остановки прошло всего 8 дней.
Моё мнение: компрометация ключей и платформы хостинга создаёт больше проблем, чем отдельная уязвимость смарт-контракта, поскольку вектор атаки лежит в сфере эксплуатации инфраструктуры. Выпуск патча не гарантирует, что в следующий раз злоумышленник не проникнет через облачный аккаунт. Предстоит попытаться вернуть уже выведенные стейблкоины и TIA, а возможность перехватить около 2,16 млн долларов, всё ещё находящихся в остановленной сети, зависит от того, какие меры примут до перезапуска. Обычным пользователям практичнее пока не совершать операции ввода и вывода средств и межсетевые переводы в Initia и связанных с ней роллапах, пока команда не сообщит о перезапуске и компенсациях. Не стоит также считать обещание «полностью восстановить активы» подтверждением того, что средства уже зачислены.
Это лишь сводка общедоступных сообщений и не является инвестиционной рекомендацией.
$INIT $USDC
Кратко по пунктам:
1. Согласно официальному обновлению Initia (пересказано PANews, ChainCatcher и 深潮 10–11 ноября), L1 совместно с валидаторами остановили 10 ноября в 14:18 по пекинскому времени (06:18 UTC). По словам команды, 9 ноября злоумышленник воспользовался ключом GCP, предназначенным для настройки приватных узлов, и проник в инфраструктуру с помощью инъекции команд. Затем он получил доступ к аккаунтам GitHub и GCP и другим учётным данным, а также проник на платформу хостинга роллапов Anvil. Там он подтвердил поддельные выводы средств через IBC для 5 роллапов, разблокировав аккаунты с межсетевыми активами, хранившимися на L1.
2. В том же обновлении говорится, что активы на сумму около 3,27 млн долларов были переведены на адрес злоумышленника в L1. Примерно 2,16 млн долларов по-прежнему находятся в приостановленной сети, и пока их нельзя перевести. После продажи части украденных активов на DEX Initia злоумышленник уже вывел 13,4 тыс. TIA, 8 тыс. USDC.inj и 597 тыс. Noble USDC, но не переводил INIT. Команда заявила, что планирует полностью восстановить затронутые активы и перестроить инфраструктуру в изолированной среде; перезапуск займёт больше времени, чем обычное обслуживание. Работа по возврату средств продолжается совместно с правоохранительными органами и партнёрами по безопасности. В более ранней предварительной оценке учитывалась главным образом уже выведенная из сети часть: около 605 тыс. USDC были переведены через Noble, а также примерно 10 тыс. долларов в других токенах.
3. Это уже вторая остановка L1 менее чем за месяц. По данным CryptoPotato и других изданий, ссылающихся на прежнее заявление команды, 23 октября из-за уязвимости в кэше скриптов MoveVM злоумышленник выпустил WETH, iUSD и USDC, не обеспеченные резервами; до остановки сети из неё вывели активы примерно на 2,7 млн долларов. Позже фонд выделил средства, чтобы восстановить резервное обеспечение затронутых активов в соотношении 1:1. Сеть возобновила работу лишь 2 ноября, после исправления уязвимости и независимого аудита. С момента перезапуска до нынешней остановки прошло всего 8 дней.
Моё мнение: компрометация ключей и платформы хостинга создаёт больше проблем, чем отдельная уязвимость смарт-контракта, поскольку вектор атаки лежит в сфере эксплуатации инфраструктуры. Выпуск патча не гарантирует, что в следующий раз злоумышленник не проникнет через облачный аккаунт. Предстоит попытаться вернуть уже выведенные стейблкоины и TIA, а возможность перехватить около 2,16 млн долларов, всё ещё находящихся в остановленной сети, зависит от того, какие меры примут до перезапуска. Обычным пользователям практичнее пока не совершать операции ввода и вывода средств и межсетевые переводы в Initia и связанных с ней роллапах, пока команда не сообщит о перезапуске и компенсациях. Не стоит также считать обещание «полностью восстановить активы» подтверждением того, что средства уже зачислены.
Это лишь сводка общедоступных сообщений и не является инвестиционной рекомендацией.
$INIT $USDC
