Initia victime d'un nouveau piratage : 3,27 millions de dollars détournés moins de trois semaines après la première attaque

Initia a désormais été victime de deux attaques en moins de trois semaines. La première fois, le problème provenait d’un bug dans sa machine virtuelle. Cette fois-ci, le pirate n’a jamais touché à la machine virtuelle et s’est introduit via une clé cloud.

La couche 1 soutenue par Binance Labs, construite autour d’un réseau de rollups interconnectés, a confirmé mercredi qu’un pirate avait transféré environ 3,27 millions de dollars d’actifs hors de ses comptes de dépôt fiduciaire, a rapporté Cointelegraph. Environ 2,16 millions de dollars de cette somme sont toujours bloqués sur la chaîne, dont le fonctionnement est suspendu depuis mardi.

Comment le pirate s’est-il introduit?

Selon l’analyse fournie par Initia sur X, l’intrusion a débuté le lundi 9 novembre. Le pirate a utilisé une attaque par injection de commande combinée à une clé Google Cloud Platform compromise. ChainCatcher, citant la même mise à jour, précise qu’il s’agissait d’une clé utilisée pour configurer des nœuds privés. La faille a exposé des variables d’environnement, ce qui a permis de accéder aux comptes GitHub et cloud d’Initia, ainsi qu’à d’autres identifiants.

La prochaine étape a été Anvil, la plateforme qui héberge les rollups d’Initia. De là, le pirate a validé des retraits IBC frauduleux à partir de cinq rollups, chacun d’entre eux ayant débloqué des actifs détenus dans les comptes de dépôt fiduciaire de la couche 1. Dans son premier communiqué publié mardi, Initia a décrit l’incident comme une compromission des clés de l’infrastructure des rollups, qui a permis à un pirate de fabriquer de faux transferts IBC, selon Protos.

Le pirate a ensuite vendu ces actifs sur le DEX d’Initia et retiré 13 400 TIA, 8 000 USDC.inj et 597 000 Noble USDC. Aucun INIT n’a quitté la chaîne. Initia indique qu’elle prévoit de rétablir la couverture des actifs affectés et que le travail de récupération est en cours en collaboration avec les forces de l’ordre et ses partenaires de sécurité.

Quel chiffre est le bon?

Cela dépend du jour où vous lisez cet article. Le communiqué publié mardi faisait état de 615 000 dollars sortis de la chaîne, dont environ 605 000 dollars en USDC et 10 000 dollars en autres tokens, et indiquait que la majeure partie des fonds ayant quitté le compte séquestre se trouvait toujours sur Initia. La mise à jour de mercredi a revu ce chiffre à la hausse, indiquant que 3,27 millions de dollars avaient été transférés vers l’adresse de l’attaquant sur la couche 1 (L1), dont 2,16 millions de dollars gelés. Les tokens retirés mentionnés ci-dessus correspondent globalement au décompte de mardi; les deux chiffres semblent donc porter sur des éléments différents: ce qui a échappé à la chaîne par opposition à l’ensemble des fonds sur lesquels l’attaquant a mis la main.

Le total combiné est tout aussi difficile à cerner. Protos a ajouté les 615 000 dollars de mardi aux 2,7 millions de dollars d’octobre pour obtenir environ 3,3 millions de dollars. En ajoutant plutôt les 3,27 millions de dollars supplémentaires, on obtient environ 5,97 millions de dollars pour les deux incidents, comme l’a fait FinanceFeeds. Initia n’a publié de bilan définitif pour aucun des deux incidents.

La première faille, trois semaines plus tôt

Le 23 octobre, Initia a suspendu son réseau L1 et ses rollups à 15 h 41 UTC. C’est le chercheur en sécurité Spreek qui a été le premier à signaler l’exploitation, faisant état d’une création non autorisée de tokens. D2 Finance a ensuite évalué les dégâts: 2 millions d’AUSD non adossés, dont environ 1,4 million d’AUSD, 105 ETH et 1,08 million d’USDC transférés vers Ethereum et regroupés dans un portefeuille contenant environ 1 135,5 ETH, d’une valeur de 2,73 millions de dollars à l’époque.

Dans sa mise à jour du 24 octobre, Initia a attribué la faille à un bug de mise en cache de script dans MoveVM, qui a permis à l’attaquant d’usurper l’état de la chaîne et de s’octroyer des WETH, iUSD et USDC non adossés. Le réseau a été rétabli le 2 novembre. L’incident a duré huit jours.

Réactions

Les utilisateurs n’ont pas fait dans la dentelle. Selon Protos, un compte a exhorté la chaîne à fermer, tandis qu’un autre a accusé l’équipe d’avoir orchestré cette attaque de l’intérieur. Je n’ai trouvé aucune publication venant étayer cette allégation, il convient donc de la considérer comme une simple accusation, sans plus.

Le plus étrange, c’est le graphique. Selon Protos et crypto.news, le cours de l’INIT a grimpé d’environ 60% dans les 24 heures qui ont suivi l’arrêt, sur une chaîne où aucun transfert n’était possible. Un utilisateur sur X a soupçonné un « crime pump ». Protos note également que la TVL d’Initia, selon DefiLlama, a chuté de plus de 90% par rapport à son pic atteint après le lancement en mai 2025, et que les pertes liées aux deux incidents dépassent désormais ce qui reste sur la chaîne.

Ce qui me revient sans cesse à l’esprit

Ces deux failles ne présentent aucun recoupement technique. Celle d’octobre a touché la couche d’exécution. Celle de novembre a touché le compte cloud qui la sous-tend. Le concept d’Initia repose sur des chaînes spécifiques à chaque application reliées par l’IBC, et cette architecture crée de nombreux points où la confiance doit être établie. FinanceFeeds souligne qu’une seule clé cloud compromise a suffi pour franchir plusieurs de ces barrières à la fois.

C’est également mon interprétation, et cela me met mal à l’aise. Un correctif pour un bug de machine virtuelle, même s’il a fait l’objet d’un audit, ne résout en rien le problème d’une information d’identification divulguée qui permet d’autoriser des retraits depuis cinq rollups. L’équipe a passé dix jours à corriger le premier problème et a bénéficié de huit jours de disponibilité avant que le second ne se présente.

Initia indique qu’elle va reconstruire l’infrastructure affectée dans un environnement isolé et que le redémarrage prendra plus de temps qu’un redémarrage normal. Mercredi, aucune date de redémarrage n’avait encore été fixée. Tant que ce ne sera pas le cas, rien ne bougera sur la L1 ni sur ses rollups, y compris les 2,16 millions de dollars actuellement gelés.