Второй взлом Initia: как украли $3,27 млн и что известно

Блокчейн Initia взломали второй раз за три недели. На этот раз уязвимость была не в коде сети, а в облачной инфраструктуре команды. Злоумышленник через утёкший ключ Google Cloud добрался до хостинга роллапов и подделал выводы из основной сети. По данным Initia, на его адрес ушли активы примерно на $3,27 млн. Из них $2,16 млн застряли в остановленной сети и вывести их нельзя.

Что известно сейчас

• Основная сеть Initia (L1) стоит с 10 ноября, 09:18 МСК. Срок перезапуска не назван. Команда пересобирает пострадавшую инфраструктуру с нуля и предупреждает, что перезапуск займёт дольше обычного (Initia).
• Атакующий получил активы примерно на $3,27 млн. $2,16 млн из них остаются в остановленной L1. Разница, около $1,1 млн, ушла из сети: 13,4 тыс. TIA, 8 тыс. USDC.inj и 597 тыс. USDC через Noble. INIT атакующий не выводил.
• Initia обещает полностью восстановить обеспечение пострадавших активов. План ещё дорабатывается.
• По данным Cointelegraph, команда возвращает средства вместе с правоохранителями и партнёрами по безопасности.
• Адреса атакующего, заморозки со стороны Noble, Circle или бирж и данные PeckShield, Cyvers или ZachXBT по этому делу мы пока не нашли.

Как это произошло

По объяснению команды, атака началась 9 ноября с инъекции команд. Атакующий воспользовался скомпрометированным ключом Google Cloud (GCP), которым Initia разворачивала приватные ноды. Так он увидел переменные окружения серверов, а в них нашлись доступы к аккаунтам GitHub и GCP. Оттуда он забрал новые учётные данные.

С ними злоумышленник вошёл в Anvil — платформу, на которой работают роллапы Initia. Роллапы — отдельные сети поверх L1. Токены, переведённые с L1 в роллап, лежат на эскроу-счетах L1, а обратный вывод сеть проверяет по подтверждению роллапа через протокол IBC. Контролируя инфраструктуру пяти роллапов, атакующий подтвердил выводы, которых не было, и L1 отдала ему настоящие активы с эскроу-счетов.

Первый взлом, 23 октября, был устроен иначе. Тогда ошибка в кэшировании скриптов MoveVM позволила выпускать токены без обеспечения (наш разбор). Сейчас смарт-контракты и виртуальная машина ни при чём: ключи от облака дали атакующему права, которые сеть приняла за настоящие.

Хроника

9 ноября. Атакующий проникает в инфраструктуру Initia через инъекцию команд и скомпрометированный ключ GCP. Затем он получает доступ к GitHub, GCP и Anvil (данные Initia, время не раскрыто).

10 ноября, 09:18 МСК. Initia вместе с валидаторами останавливает L1: команда обнаружила несанкционированные переводы с эскроу-счетов, где лежат активы, переведённые в роллапы.

10 ноября, 10:07 МСК. Первое сообщение Initia. По предварительной оценке, до остановки из сети через Noble ушло около $605 тыс. USDC и ещё $10 тыс. в других токенах. Остальное, что вывели с эскроу-счетов, остаётся в остановленной L1. Причиной названы скомпрометированные ключи инфраструктуры роллапов.

10 ноября, 10:59 МСК. TokenPost пишет, что INIT вырос за сутки на 80% и поднимался выше $0,23, хотя сеть стоит.

10 ноября, 14:31 МСК. crypto.news ссылается на CertiK: в Noble ушли 16 успешных IBC-переводов, всего около $636 тыс. Это немного больше первой оценки Initia. По CoinGecko, INIT за сутки подорожал на 61%, с $0,12 до $0,23, при объёме торгов $84,8 млн.

10 ноября, 19:43 МСК. Initia публикует подробности: цепочку доступа от ключа GCP до Anvil, поддельные IBC-выводы с пяти роллапов и сумму около $3,27 млн, из которых $2,16 млн заблокированы в L1. Команда обещает полностью восстановить обеспечение активов и пересобрать инфраструктуру в изолированной среде с минимальными правами доступа.

11 ноября. Cointelegraph: Initia работает над возвратом средств вместе с правоохранительными органами и партнёрами по безопасности.

Куда ушли деньги

Весь путь шёл внутри экосистемы Cosmos, не через Ethereum, как в октябре. Атакующий получил активы на свой адрес в Initia L1 и продал часть на встроенной бирже Initia. Затем он вывел через IBC 13,4 тыс. TIA (токен Celestia), 8 тыс. USDC.inj (USDC в сети Injective) и 597 тыс. USDC в сеть Noble. Дальше вывести не дали лимиты исходящих IBC-переводов, которые Initia держит на L1 (Initia). Остальное, $2,16 млн, лежит на адресе атакующего в остановленной сети.

Куда атакующий отправил средства из Noble и Injective, публично пока не известно. Адрес команда не раскрыла.

Что сделали команда и биржи

• Initia остановила L1 вместе с валидаторами, восстанавливает инфраструктуру с нуля и обещает полностью восстановить обеспечение пострадавших активов. План и сроки опубликует отдельно. Объявления выходят только в официальных каналах.
• CertiK насчитал 16 подозрительных IBC-переводов в Noble на $636 тыс. (по crypto.news).
• Заявлений Noble, Circle, Upbit, Bithumb и Binance о заморозке средств или ограничениях по INIT после второго взлома мы пока не нашли.

Что это значит для держателей

Пока L1 стоит, переводить токены внутри Initia и выводить их через IBC нельзя. Держателям TIA, USDC и других активов, которые лежали в роллапах Initia, придётся ждать: команда обещала восстановить обеспечение, но детали не раскрыла. Нативный INIT атакующий не выводил. При этом токен на биржах за сутки после остановки не упал, а вырос на 61⁠–⁠80% по разным оценкам. Причин рост источники не называют.

Это второй инцидент за три недели. После октябрьского взлома сеть простояла больше девяти дней. Теперь команда сама предупреждает, что перезапуск будет дольше. Во время таких пауз мошенники рассылают ссылки на «компенсацию», поэтому верить стоит только официальным каналам Initia. Живые цены — в сводке дня, новость о втором взломе — в заметке.

Это не инвестиционный совет.

---

Статья дополняется: мы следим за развитием событий и добавляем новые данные. Последнее обновление — 11 ноября 2026, 09:20 МСК.