A Initia é novamente alvo de um ataque informático: 3,27 milhões de dólares foram transferidos menos de três semanas após o primeiro ataque

A Initia já foi alvo de dois ataques em menos de três semanas. Na primeira vez, o problema foi um bug na sua máquina virtual. Desta vez, o atacante nem sequer tocou na máquina virtual, tendo, em vez disso, conseguido aceder através de uma chave na nuvem.

A camada 1 apoiada pela Binance Labs, construída em torno de uma rede de rollups interligados, confirmou na quarta-feira que um atacante retirou cerca de 3,27 milhões de dólares em ativos das suas contas de garantia, segundo noticiou a Cointelegraph. Cerca de 2,16 milhões de dólares desse montante continuam retidos na cadeia, que se encontra paralisada desde terça-feira.

Como o atacante conseguiu entrar

De acordo com a análise da própria Initia no X, a intrusão teve início na segunda-feira, 9 de novembro. O invasor utilizou um ataque de injeção de comandos em conjunto com uma chave comprometida da Google Cloud Platform. O ChainCatcher, citando a mesma atualização, afirma que se tratava de uma chave utilizada para configurar nós privados. A violação expôs variáveis de ambiente, o que permitiu o acesso às contas da Initia no GitHub e na nuvem, bem como a outras credenciais.

A próxima paragem foi a Anvil, a plataforma que aloja os rollups da Initia. A partir daí, o atacante validou levantamentos IBC fraudulentos de cinco rollups, e cada um deles libertou ativos detidos nas contas de garantia da L1. O primeiro comunicado da Initia, na terça-feira, descreveu o incidente como chaves comprometidas da infraestrutura de rollups que permitiram a um atacante falsificar transferências IBC, segundo a Protos.

O atacante vendeu então no próprio DEX da Initia e levantou 13 400 TIA, 8 000 USDC.inj e 597 000 Noble USDC. Nenhum INIT saiu da cadeia. A Initia afirma que planeia restaurar a cobertura dos ativos afetados e que o trabalho de recuperação está em curso com as autoridades policiais e os parceiros de segurança.

Qual é o número correto?

Depende do dia em que ler esta notícia. A publicação de terça-feira sobre a suspensão contabilizou 615 000 dólares que saíram da cadeia, cerca de 605 000 dólares em USDC e 10 000 dólares noutros tokens, e referiu que a maior parte do que saiu da conta de garantia ainda se encontrava na Initia. A atualização de quarta-feira aumentou o valor para 3,27 milhões de dólares transferidos para o endereço do atacante na L1, com 2,16 milhões de dólares congelados. Os tokens retirados acima referidos correspondem, aproximadamente, ao total de terça-feira, pelo que os dois números parecem medir coisas diferentes: o que escapou da cadeia versus tudo aquilo a que o atacante teve acesso.

O total combinado é igualmente difícil de determinar. A Protos somou os 615 000 dólares de terça-feira aos 2,7 milhões de dólares de outubro e chegou a cerca de 3,3 milhões de dólares. Se, em vez disso, somarmos os novos 3,27 milhões de dólares, obtemos cerca de 5,97 milhões de dólares em ambos os incidentes, tal como fez a FinanceFeeds. A Initia ainda não publicou um balanço final para nenhum dos dois casos.

A primeira exploração, três semanas antes

A 23 de outubro, a Initia suspendeu a sua L1 e os rollups às 15h41 UTC. O investigador de segurança Spreek foi o primeiro a sinalizar a exploração, relatando a emissão não autorizada de tokens. A D2 Finance identificou então os danos: 2 milhões de AUSD sem lastro, com cerca de 1,4 milhões de AUSD, 105 ETH e 1,08 milhões de USDC transferidos para a Ethereum e consolidados numa carteira que continha cerca de 1 135,5 ETH, no valor de 2,73 milhões de dólares na altura.

A atualização da Initia, de 24 de outubro, atribuiu a falha a um bug de cache de scripts no MoveVM, que permitiu ao atacante falsificar o estado da cadeia e atribuir a si próprio WETH, iUSD e USDC sem cobertura. A rede voltou a funcionar a 2 de novembro. A falha durou oito dias.

Reação

Os utilizadores não foram brandos. Segundo a Protos, uma conta instou a cadeia a encerrar as operações e outra acusou a equipa de um «trabalho interno ». Não encontrei nada publicado que sustente a alegação de «trabalho interno», pelo que devo considerá-la apenas uma acusação e nada mais.

A parte mais estranha é o gráfico. O INIT subiu cerca de 60% nas 24 horas após a interrupção, de acordo com a Protos e a crypto.news, numa cadeia onde nada podia ser movimentado. Um utilizador no X suspeitou de um «crime pump». O Protos também refere que o TVL da Initia, segundo o DefiLlama, caiu mais de 90% em relação ao seu pico após o lançamento em maio de 2025, e que as perdas resultantes dos dois incidentes excedem agora o que resta na cadeia.

O que me faz voltar sempre a este assunto

As duas explorações não têm qualquer sobreposição técnica. A de outubro afetou a camada de execução. A de novembro afetou a conta na nuvem por trás dela. O argumento de venda da Initia assenta em cadeias específicas para aplicações ligadas por IBC, e esse design cria muitos pontos em que é necessário que haja confiança. A FinanceFeeds salienta que bastou uma chave na nuvem comprometida para ultrapassar várias dessas barreiras de uma só vez.

Essa é também a minha interpretação, e é preocupante. Uma correção para um bug de VM, mesmo que auditada, não resolve em nada o problema de uma credencial vazada que pode autorizar levantamentos de cinco rollups. A equipa passou dez dias a corrigir o primeiro problema e conseguiu oito dias de tempo de atividade antes de o segundo problema os atingir.

A Initia afirma que irá reconstruir a infraestrutura afetada num ambiente isolado e que o reinício demorará mais tempo do que um reinício normal. Até quarta-feira, ainda não havia data marcada para o reinício. Até que haja, nada se move na L1 nem nos seus rollups, incluindo os 2,16 milhões de dólares que se encontram congelados.