Initia vuelve a sufrir un ataque informático: se han sustraído 3,27 millones de dólares menos de tres semanas después del primer ataque

Initia ha sufrido ya dos ataques en menos de tres semanas. La primera vez, el problema fue un error en su máquina virtual. Esta vez, el atacante ni siquiera tocó la máquina virtual, sino que accedió a través de una clave en la nube.

La capa 1 respaldada por Binance Labs, construida en torno a una red de rollups interconectados, confirmó el miércoles que un atacante retiró unos 3,27 millones de dólares en activos de sus cuentas de depósito en garantía, según informó Cointelegraph. Aproximadamente 2,16 millones de dólares de esa cantidad siguen bloqueados en la cadena, que lleva paralizada desde el martes.

Cómo entró el atacante

Según el análisis de Initia publicado en X, la intrusión comenzó el lunes 9 de noviembre. El atacante utilizó un ataque de inyección de comandos junto con una clave comprometida de Google Cloud Platform. ChainCatcher, citando la misma actualización, afirma que se trataba de una clave utilizada para configurar nodos privados. La brecha expuso variables de entorno, lo que permitió acceder a las cuentas de GitHub y en la nube de Initia, además de a otras credenciales.

La siguiente parada fue Anvil, la plataforma que aloja los rollups de Initia. Desde allí, el atacante validó retiradas fraudulentas mediante IBC desde cinco rollups, y cada una de ellas liberó activos depositados en las cuentas de depósito en garantía de la capa 1. La primera declaración de Initia, emitida el martes, describió el incidente como un compromiso de las claves de la infraestructura de los rollups que permitió al atacante falsificar transferencias IBC, según Protos.

A continuación, el atacante vendió en el propio DEX de Initia y retiró 13 400 TIA, 8 000 USDC.inj y 597 000 Noble USDC. Ningún INIT salió de la cadena. Initia afirma que tiene previsto restablecer el respaldo de los activos afectados y que el trabajo de recuperación sigue en marcha en colaboración con las fuerzas del orden y sus socios de seguridad.

¿Cuál es la cifra correcta?

Depende del día en que lo leas. La publicación del martes sobre la suspensión de operaciones contabilizaba 615 000 dólares que salieron de la cadena, unos 605 000 dólares en USDC y 10 000 dólares en otros tokens, y señalaba que la mayor parte de lo que salió del depósito en garantía seguía en Initia. La actualización del miércoles amplió la cifra a 3,27 millones de dólares transferidos a la dirección del atacante en la L1, con 2,16 millones de dólares congelados. Los tokens retirados enumerados anteriormente coinciden aproximadamente con el recuento del martes, por lo que las dos cifras parecen referirse a cosas diferentes: lo que escapó de la cadena frente a todo lo que tocó el atacante.

El total combinado es igual de difícil de precisar. Protos sumó los 615 000 dólares del martes a los 2,7 millones de octubre y obtuvo unos 3,3 millones de dólares. Si, en cambio, se suman los nuevos 3,27 millones de dólares, se obtiene una cifra aproximada de 5,97 millones de dólares entre ambos incidentes, tal y como hizo FinanceFeeds. Initia no ha publicado un balance definitivo de ninguno de los dos.

El primer ataque, tres semanas antes

El 23 de octubre, Initia detuvo su L1 y sus rollups a las 15:41 UTC. El investigador de seguridad Spreek fue el primero en detectar la vulnerabilidad, informando de una emisión no autorizada de tokens. A continuación, D2 Finance cuantificó los daños: 2 millones de AUSD sin respaldo, de los cuales aproximadamente 1,4 millones de AUSD, 105 ETH y 1,08 millones de USDC se transfirieron a Ethereum y se consolidaron en una cartera que contenía alrededor de 1 135,5 ETH, con un valor de 2,73 millones de dólares en ese momento.

La actualización de Initia del 24 de octubre atribuyó el incidente a un error de almacenamiento en caché de scripts en MoveVM que permitió al atacante falsificar el estado de la cadena y atribuirse WETH, iUSD y USDC sin respaldo. La red volvió a estar operativa el 2 de noviembre. El incidente duró ocho días.

Reacción

Los usuarios no se anduvieron con miramientos. Según Protos, una cuenta instó a que se cerrara la cadena, y otra acusó al equipo de un «trabajo desde dentro ». No he podido encontrar nada publicado que respalde la afirmación de que se tratara de un trabajo desde dentro, así que considérenlo una acusación y nada más.

Lo más extraño es el gráfico. INIT subió alrededor de un 60% en las 24 horas posteriores a la interrupción, según Protos y crypto.news, en una cadena en la que no se podía mover nada. Un usuario de X sospechó de un «crime pump». Protos también señala que el TVL de Initia, según DefiLlama, ha caído más del 90% desde su máximo tras el lanzamiento en mayo de 2025, y que las pérdidas derivadas de los dos incidentes superan ahora lo que queda en la cadena.

Lo que no dejo de pensar

Las dos vulnerabilidades no comparten ningún solapamiento técnico. La de octubre afectó a la capa de ejecución. La de noviembre afectó a la cuenta en la nube que hay detrás. El argumento de venta de Initia son las cadenas específicas para cada aplicación conectadas mediante IBC, y ese diseño crea muchos puntos en los que debe mantenerse la confianza. FinanceFeeds señala que bastó con que se viera comprometida una clave en la nube para traspasar varios de esos límites a la vez.

Esa es también mi interpretación, y resulta inquietante. Una corrección de un error de máquina virtual, incluso una que haya sido auditada, no resuelve en absoluto el problema de una credencial filtrada que puede autorizar retiradas de fondos de cinco rollups. El equipo dedicó diez días a corregir el primer problema y consiguió ocho días de tiempo de actividad antes de que el segundo les pillara por sorpresa.

Initia afirma que reconstruirá la infraestructura afectada en un entorno aislado y que el reinicio llevará más tiempo que un reinicio normal. A fecha de miércoles, aún no hay fecha de reinicio. Hasta que la haya, nada se mueve en la L1 ni en sus rollups, incluidos los 2,16 millones de dólares que permanecen congelados.