Initia erneut gehackt, Angreifer kam über einen Cloud-Schlüssel

Knapp drei Wochen nach dem ersten Angriff ist die Blockchain Initia erneut ausgeraubt worden. Rund 3,27 Millionen US-Dollar hat der Angreifer nach Angaben des Projekts bewegt, über einen gestohlenen Zugang zur Cloud statt über einen Fehler im Code. Die Kette steht still, betroffene Guthaben will Initia vollständig decken.

Initia ist eine Layer-1-Blockchain, an die mehrere eigene Rollups angeschlossen sind, also Zusatznetze, die ihre Transaktionen über die Hauptkette abrechnen. Werte wandern zwischen ihnen über IBC, das Brückenprotokoll aus dem Cosmos-Umfeld, und liegen dabei auf der Hauptkette in Treuhandkonten.

Der Angreifer kam über einen Schlüssel für private Knoten

Begonnen hat der Angriff am 9. November. Nach dem Bericht von Initia verschaffte sich der Angreifer über eine Command Injection Zugang zur Infrastruktur, also über eingeschleuste Befehle, und zwar mit einem kompromittierten Schlüssel für Google Cloud, mit dem das Team private Knoten einrichtete. So gelangte er an Umgebungsvariablen und darüber an die Konten bei GitHub und Google Cloud sowie an weitere Zugangsdaten.

Damit öffnete er Anvil, die Plattform, auf der die Rollups von Initia betrieben werden. Über sie bestätigte er gefälschte Auszahlungen aus fünf Rollups und gab damit Guthaben aus den Treuhandkonten der Hauptkette frei.

Am 10. November um 7:18 Uhr MEZ hielt Initia die Kette gemeinsam mit den Validatoren an; in einer ersten Meldung knapp eine Stunde später bezifferte das Projekt den Abfluss auf rund 605.000 US-Dollar in USDC plus etwa 10.000 Dollar in anderen Token.

Am Abend folgte die vollständige Rechnung. Bewegt wurden rund 3,27 Millionen US-Dollar, davon liegen 2,16 Millionen weiter auf der angehaltenen Kette, wo sie sich nicht mehr bewegen lassen. Den Rest tauschte der Angreifer auf der hauseigenen Börse und zog 13.400 TIA, 8.000 USDC.inj und 597.000 USDC über das Netz Noble ab, bis die Obergrenze für ausgehende IBC-Transfers griff. INIT, der eigene Token des Netzes, sei nicht abgeflossen.

Initia baut die Infrastruktur von Grund auf neu

Für die Betroffenen kündigt das Projekt Ersatz an: “We intend to restore the backing of affected assets in full.” Die Deckung der betroffenen Werte solle also vollständig wiederhergestellt werden; den Plan dazu will Initia noch vorlegen.

Einen Termin für den Neustart gibt es nicht. Initia baut die betroffene Infrastruktur nach eigenen Angaben in einer abgeschotteten Umgebung neu auf und schränkt die Zugriffsrechte ein, das dauere länger als ein gewöhnlicher Neustart des Netzes.

Der erste Vorfall hatte eine andere Ursache. Am 23. Oktober nutzte ein Angreifer einen Fehler in der MoveVM, der virtuellen Maschine des Netzes, und holte rund 2,7 Millionen US-Dollar heraus; auch damals hielt Initia die Kette an. Zusammen sind es damit knapp sechs Millionen Dollar in weniger als drei Wochen.

Wer Werte auf der Hauptkette hält, kann sie bis zum Neustart nicht bewegen.