레이어-1 블록체인 네트워크 이니시아는 수요일, 3주가 채 지나지 않아 두 번째 보안 익스플로잇을 겪었으며 공격자가 플랫폼의 클라우드 인프라를 침해한 뒤 약 327만 달러 상당의 암호화폐 자산을 탈취했다고 확인했다.
수요일 이니시아는 공격자가 침해된 구글 클라우드 플랫폼 키와 관련된 명령어 주입 공격을 통해 월요일 무단 접근 권한을 얻었다고 말했다. 회사는 이번 침해로 환경 변수가 노출되면서 공격자가 이니시아의 깃허브 및 클라우드 계정에 접근하고 추가 자격 증명을 확보할 수 있었다고 밝혔다.
이니시아에 따르면 공격자는 롤업을 호스팅하는 플랫폼인 앤빌에 접근해 5개 롤업에서 사기성 인터블록체인 통신(IBC) 출금을 승인했고, 네트워크 에스크로 계정에 보관된 자산을 방출시켰다.
이니시아는 탈취된 자산 중 약 216만 달러가 중단된 네트워크에 여전히 동결돼 있다고 밝혔다. 공격자는 이니시아의 탈중앙화 거래소에서 자산을 매도하고 TIA 13,400개, USDC.inj 8,000개, 노블 USDC 597,000개를 출금했다. INIT 토큰은 출금되지 않았다.
이니시아는 화요일 레이어-1을 중단했고 영향을 받은 자산의 담보를 복구할 계획이라고 밝혔다. 블록체인은 법 집행기관 및 보안 파트너들과 함께 복구 작업을 진행 중이라고 밝혔다.
이번 사건은 10월 23일 발생한 익스플로잇에 이은 것이다. 당시 공격자는 이니시아의 무브VM 스크립트 캐시 취약점을 악용해 약 270만 달러를 빼돌렸다. 이로 인해 악성 코드가 보안 검사를 우회하고 뒷받침 자산이 없는 토큰 잔액을 생성할 수 있었으며, 이후 해당 잔액은 네트워크 밖으로 브리지됐다.