Initia Yine Saldırıya Uğradı: İlk Saldırıdan Üç Haftadan Az Bir Süre Sonra 3,27 Milyon Dolar Çalındı

Initia, üç haftadan kısa bir süre içinde iki kez saldırıya uğradı. İlk seferinde sorun, sanal makinesindeki bir hataydı. Bu sefer ise saldırgan sanal makineye hiç dokunmadı ve bunun yerine bir bulut anahtarı aracılığıyla sisteme sızdı.

Cointelegraph’ın haberine göre, birbirine bağlı rollup ağları üzerine kurulu ve Binance Labs tarafından desteklenen bu katman-1 platformu, Çarşamba günü bir saldırganın emanet hesaplarından yaklaşık 3,27 milyon dolarlık varlığı çaldığını doğruladı. Bu tutarın yaklaşık 2,16 milyon doları, Salı gününden beri durdurulmuş olan blok zincirinde hâlâ sıkışmış durumda.

Saldırgan Nasıl Girdi?

Initia'nın X'te paylaştığı ayrıntılı bilgilere göre, saldırı 9 Kasım Pazartesi günü başladı. Saldırgan, ele geçirilmiş bir Google Cloud Platform anahtarıyla birlikte bir komut enjeksiyon saldırısı kullandı. Aynı güncellemeye atıfta bulunan ChainCatcher, bunun özel düğümleri yapılandırmak için kullanılan bir anahtar olduğunu belirtiyor. Güvenlik ihlali, ortam değişkenlerini açığa çıkardı ve bu da Initia'nın GitHub ve bulut hesaplarının yanı sıra daha fazla kimlik bilgisine erişim sağladı.

Bir sonraki durak, Initia'nın rollup'larını barındıran Anvil platformuydu. Saldırgan buradan beş rollup'tan sahte IBC para çekme işlemlerini onayladı ve her bir işlem, L1'in emanet hesaplarında tutulan varlıkları serbest bıraktı. Initia'nın Salı günü yaptığı ilk açıklamada, Protos'a göre bu durum, saldırganın IBC transferleri uydurmasına olanak tanıyan rollup altyapı anahtarlarının ele geçirilmesi olarak tanımlandı.

Saldırgan daha sonra Initia'nın kendi DEX'inde satış yaptı ve 13.400 TIA, 8.000 USDC.inj ve 597.000 Noble USDC çekti. Zincirden hiçbir INIT çıkmadı. Initia, etkilenen varlıkların teminatını geri kazanmayı planladığını ve kolluk kuvvetleri ile güvenlik ortaklarıyla birlikte kurtarma çalışmalarının devam ettiğini belirtti.

Hangi Rakam Doğru?

Bunu okuduğunuz güne bağlı. Salı günkü durdurma duyurusunda, zincir dışına çıkan tutarın 615.000 dolar olduğu belirtilmişti; bunun yaklaşık 605.000 doları USDC, 10.000 doları ise diğer tokenlerden oluşuyordu ve emanet hesabından çıkan tutarın çoğunun hâlâ Initia'da olduğu ifade edilmişti. Çarşamba günkü güncellemede ise bu rakam, L1'deki saldırganın adresine aktarılan 3,27 milyon dolara yükseltildi ve 2,16 milyon doların dondurulduğu belirtildi. Yukarıda listelenen çekilen tokenlar, Salı günkü hesaplamayla kabaca örtüşüyor; dolayısıyla bu iki rakam farklı şeyleri ölçüyor gibi görünüyor: zincirden kaçan miktar ile saldırganın eline geçen toplam miktar.

Toplam rakam da aynı derecede belirsiz. Protos, Salı günkü 615.000 doları Ekim ayındaki 2,7 milyon dolara ekleyerek yaklaşık 3,3 milyon dolarlık bir rakam elde etti. Bunun yerine yeni 3,27 milyon doları eklediğimizde, FinanceFeeds'in yaptığı gibi her iki olay için toplamda yaklaşık 5,97 milyon dolar elde ediyoruz. Initia, her iki olay için de nihai bir hesaplama yayınlamadı.

İlk Güvenlik Açığı: Üç Hafta Önce

23 Ekim'de Initia , L1 ve rollup'larını UTC saat 15:41'de durdurdu. Güvenlik araştırmacısı Spreek, yetkisiz token basımını bildirerek bu istismarı ilk kez ortaya çıkardı. D2 Finance daha sonra zararın boyutunu belirledi: 2 milyon teminatsız AUSD; bunların yaklaşık 1,4 milyon AUSD, 105 ETH ve 1,08 milyon USDC'si Ethereum'a aktarılmış ve o sırada 2,73 milyon dolar değerinde olan yaklaşık 1.135,5 ETH tutan bir cüzdanda birleştirilmişti.

Initia'nın 24 Ekim tarihli güncellemesinde, sorunun MoveVM'deki bir komut dosyası önbellekleme hatasından kaynaklandığı belirtildi; bu hata, saldırganın zincir durumunu taklit etmesine ve teminatsız WETH, iUSD ve USDC'yi kendi hesabına aktarmasına olanak tanıdı. Ağ, 2 Kasım'da yeniden faaliyete geçti. Saldırı sekiz gün sürdü.

Tepkiler

Kullanıcılar pek de nazik davranmadı. Protos'a göre, bir hesap zincirin kapatılmasını talep ederken, bir diğeri ise ekibi iç iş birliği yapmakla suçladı. İç iş birliği iddiasını destekleyen hiçbir yayın bulamadım, bu yüzden bunu sadece bir suçlama olarak değerlendirin.

Daha da tuhaf olan ise grafik. Protos ve crypto.news'e göre, hiçbir şeyin hareket ettirilemediği bir zincirde INIT, durdurulmasından sonraki 24 saat içinde yaklaşık%60 değer kazandı. X'teki bir kullanıcı, bir “suç pompalaması” olduğundan şüphelendi. Protos ayrıca, DefiLlama verilerine göre Initia’nın TVL’sinin, Mayıs 2025’teki lansman sonrası zirve seviyesine kıyasla%90’dan fazla düştüğünü ve iki olaydan kaynaklanan kayıpların artık zincirde kalan tutarı aştığını belirtiyor.

Sürekli Düşündüğüm Konu

Bu iki istismar arasında teknik bir örtüşme yok. Ekim'deki saldırı yürütme katmanını hedef aldı. Kasım'daki saldırı ise bunun arkasındaki bulut hesabını hedef aldı. Initia'nın satış argümanı, IBC ile birbirine bağlanan uygulamaya özel zincirlerdir ve bu tasarım, güvenin sağlanması gereken birçok nokta yaratır. FinanceFeeds, tek bir ele geçirilmiş bulut anahtarının bu sınırların birçoğunu aynı anda aşmak için yeterli olduğunu belirtiyor.

Ben de aynı şekilde değerlendiriyorum ve bu durum rahatsız edici. Bir VM hatası için düzeltme, denetlenmiş olsa bile, beş rollup'tan para çekme işlemlerini onaylayabilecek sızdırılmış bir kimlik bilgisi sorununu çözmez. Ekip, ilk sorunu düzeltmek için on gün harcadı ve ikinci sorun ortaya çıkana kadar sekiz gün boyunca hizmet verebildi.

Initia, etkilenen altyapıyı izole bir ortamda yeniden kuracağını ve yeniden başlatmanın normal bir yeniden başlatmadan daha uzun süreceğini belirtiyor. Çarşamba itibarıyla yeniden başlatma tarihi belli değil. Bir tarih belirlenene kadar, dondurulmuş durumda olan 2,16 milyon dolar da dahil olmak üzere, L1 veya rollup’larında hiçbir işlem gerçekleşmeyecek.