Hackeo de Initia: una clave de la nube comprometida cuesta 3,27 millones de dólares y paraliza la blockchain

La blockchain de capa 1 Initia ha sufrido su segundo ataque en tres semanas. Esta vez el punto débil no estaba en el código de la blockchain, sino en la infraestructura en la nube del proyecto: mediante una clave de Google Cloud comprometida, un atacante accedió a los sistemas internos y aprobó retiradas falsificadas desde cinco rollups. Según Initia, se movieron así unos 3,27 millones de dólares, de los que alrededor de 2,16 millones están congelados en la blockchain detenida. La red está paralizada desde el martes 10 de noviembre.

Quien tenga INIT o tokens en alguno de los rollups de Initia no puede mover nada on-chain por ahora. Para los inversores, lo que cuenta ahora es saber dónde están sus propias criptomonedas, qué comunicados son auténticos y cómo protegerse de las webs falsas de reembolso que aparecen con regularidad tras incidentes de este tipo.

Hackeo de Initia: qué pasó el 9 y el 10 de noviembre

La secuencia puede reconstruirse a partir de los comunicados del proyecto y de una información de Cointelegraph del 11 de noviembre. El lunes 9 de noviembre, el atacante obtuvo acceso a la infraestructura de Initia. El propio proyecto escribió el 10 de noviembre en X (cuenta @initia) que un atacante había «obtenido acceso no autorizado a la infraestructura de Initia mediante un ataque de inyección de comandos» el 9 de noviembre.

El martes, los validadores detuvieron la producción de bloques de la blockchain de capa 1. La parada permitió retener parte del botín, porque nadie puede transferir activos en una blockchain detenida, tampoco el atacante. El miércoles, Initia confirmó la cifra de daños más alta, de 3,27 millones de dólares. Las primeras estimaciones del martes habían sido bastante menores, porque al principio solo eran visibles las salidas que ya habían abandonado la blockchain.

Quiénes están afectados

Los objetivos directos fueron las cuentas de custodia de cinco rollups. Una cuenta de custodia (escrow) es una cuenta fiduciaria en la blockchain que guarda el respaldo de los tokens que se envían de una red a otra. Si alguien vacía una cuenta así, los tokens del otro lado se quedan sin respaldo. Initia subraya que no se retiró ningún token INIT; los afectados son activos transferidos como USDC y TIA.

Inyección de comandos y clave de Google Cloud: así fue el ataque

La inyección de comandos es un ataque en el que un sistema ejecuta órdenes que un atacante ha colado en una entrada de datos. En el caso de Initia, según Cointelegraph, el ataque partió de una clave comprometida de Google Cloud Platform. Según la versión de Initia, de la que informa entre otros CoinCentral, la clave estaba pensada en realidad para configurar nodos privados.

Con ese acceso, el atacante llegó a las variables de entorno. Son valores de configuración en los que el software suele guardar contraseñas y claves de acceso. Con ellas se abrieron las cuentas de GitHub y de la nube de Initia, además de otras credenciales. Al final de la cadena estaba el acceso a Anvil, la plataforma en la que funcionan los rollups de la red.

Un rollup es una blockchain propia que agrupa transacciones y apoya su seguridad en una blockchain superior, en este caso la red de Initia. Quien controla la infraestructura de un rollup puede confirmar operaciones que nunca debieron producirse. Eso es exactamente lo que ocurrió: el atacante confirmó retiradas IBC falsificadas desde cinco rollups.

IBC son las siglas de Inter-Blockchain Communication, el protocolo de transferencia del ecosistema Cosmos con el que los tokens circulan entre blockchains independientes. Una retirada IBC libera activos de una cuenta de custodia en cuanto la otra parte confirma la transferencia. Si quien confirma es el atacante, el dinero sale sin un asiento real de contrapartida.

3,27 millones de dólares de cinco rollups: las cifras del daño

El atacante vendió parte de los activos liberados en el exchange descentralizado de Initia y, según Cointelegraph, retiró 13.400 TIA, 8.000 USDC.inj y 597.000 Noble USDC. TIA es el token de la red Celestia; USDC.inj y Noble USDC son versiones de la stablecoin USDC en las blockchains Injective y Noble.

Del total de unos 3,27 millones de dólares, alrededor de 2,16 millones siguen congelados en la red detenida, según Initia. Sobre el papel, algo más de un millón de dólares ha salido realmente del ecosistema de Initia. Que los valores congelados puedan asegurarse por completo dependerá de cómo se haga el reinicio de la red.

Por ahora, los datos proceden únicamente del propio proyecto; no hay todavía un análisis independiente de una empresa de seguridad. Initia afirma que colabora con las fuerzas de seguridad y con socios especializados, pero no los nombra.

Segundo exploit en tres semanas: la diferencia con el fallo de la MoveVM del 23 de octubre

El ataque es ya el segundo incidente en Initia en poco tiempo. El 23 de octubre, un atacante aprovechó un fallo en la caché de scripts de la MoveVM, la máquina virtual en la que se ejecutan los smart contracts de Initia. Entonces se crearon saldos de tokens sin respaldo y, según Cointelegraph, salieron unos 2,7 millones de dólares. Describimos el primer caso en nuestro artículo sobre la parada de la red tras el infinite mint.

Técnicamente, los dos incidentes tienen poco en común. En octubre el fallo estaba en el protocolo, es decir, en código que cualquiera puede revisar públicamente. En noviembre la debilidad estaba en el entorno operativo: cuentas en la nube, claves de acceso y herramientas internas. Para los tenedores el resultado es parecido, porque en ambos casos hubo que detener la red. Initia no ha dicho si el mismo atacante está detrás de los dos casos.

Por qué dos incidentes pesan más que uno

Un exploit aislado le puede ocurrir a cualquier red joven. Dos incidentes en tres semanas, en dos capas distintas, plantean en cambio preguntas sobre los procesos internos: ¿cómo se gestionan las claves, quién tiene acceso a los sistemas de producción y con qué rapidez detecta el equipo retiradas inusuales? Las respuestas solo llegarán con un análisis detallado, que Initia aún no ha publicado.

Precio de INIT tras el hackeo: un 102 % más en siete días

La reacción del mercado es poco habitual. Según CoinGecko, INIT cotizaba el miércoles por la mañana en torno a 0,26 dólares, unos 0,23 euros. Es algo más de un 20 % más que 24 horas antes y alrededor de un 102 % más que hace una semana. La capitalización de mercado rondaba los 57 millones de dólares. Pese al salto, el precio sigue muy lejos de su máximo histórico de 1,42 dólares de mayo de 2025.

Ni el proyecto ni la prensa especializada ofrecen un motivo documentado para la subida. Tras un hackeo, los movimientos de precio de tokens con poca capitalización suelen deberse al cierre de posiciones cortas o a apuestas a corto plazo por una recuperación. Es una valoración, no una prueba. Para los inversores significa sobre todo que un salto así no indica que el incidente esté superado.

Según CoinGecko, INIT se negocia, entre otros, en Binance, Kraken, Bitvavo, Bybit y Bitget. Mientras la blockchain esté detenida, los depósitos y retiradas de INIT en los exchanges dependen de cómo lo gestione cada plataforma. La página de estado de tu exchange muestra la situación actual. Si quieres operar con INIT, hazlo en una plataforma autorizada conforme a MiCA; nuestra comparativa de exchanges cripto regulados ofrece una visión general.

Parada de la red y respaldo: qué promete Initia para los tokens afectados

Initia ha anunciado que restablecerá el respaldo de los activos afectados. Esto significa que los tokens de los rollups deberán volver a estar plenamente respaldados por contravalores en las cuentas de custodia. Cómo se hará, por ejemplo con fondos propios del proyecto o con dinero recuperado, no se sabe. Los comunicados publicados hasta ahora no dan fecha para el reinicio de la red.

Hasta entonces, quien tenga tokens en la blockchain de Initia o en uno de sus rollups no puede moverlos, ni siquiera para ponerlos a salvo. Es incómodo, pero también impide que el atacante siga moviendo los 2,16 millones de dólares congelados. Quien tenga INIT en un exchange centralizado, en cambio, solo se ve afectado de forma indirecta por la parada: la negociación en el exchange puede continuar, pero no los depósitos ni las retiradas hacia la red.

Cómo protegerte de las webs falsas de reembolso tras el hackeo de Initia

Qué ha pasado: el 9 de noviembre, un atacante entró en la infraestructura de Initia mediante una clave de Google Cloud comprometida y aprobó retiradas IBC falsificadas desde cinco rollups. Según Initia, se movieron unos 3,27 millones de dólares y alrededor de 2,16 millones están congelados en la red, detenida desde el 10 de noviembre (a 11 de noviembre).

¿Estás afectado? Puede estarlo quien tenga tokens en la blockchain de Initia o en sus rollups, sobre todo activos transferidos como USDC o TIA. Si solo tienes INIT en un exchange, no estás afectado directamente, pero no podrás retirar INIT a la red hasta el reinicio. Initia aún no ha detallado públicamente qué cinco rollups se vieron afectados, así que sigue los comunicados del proyecto en sus canales oficiales.

1. Solo canales oficiales: consulta las novedades sobre el reinicio únicamente en la web de Initia, guardada como marcador, y en su cuenta verificada de X, nunca a través de enlaces de chats o de respuestas a publicaciones.
2. Ningún formulario de reembolso: no rellenes ningún formulario de «claim» o «refund» que te pida conectar tu monedero mientras Initia no haya anunciado un procedimiento por sí misma.
3. Limpia las autorizaciones: comprueba con una herramienta como Revoke.cash qué autorizaciones de tokens ha concedido tu monedero a aplicaciones y puentes de Initia, y revoca todas las que ya no necesites.
4. No fuerces transferencias: no intentes sacar tokens de la red detenida a través de puentes o servicios no oficiales; quien ofrece algo así suele ir detrás de tu frase de recuperación.
5. Separa tus fondos: guarda los importes grandes en un monedero hardware y usa para experimentar con redes jóvenes un monedero aparte con poco saldo, para que un incidente nunca alcance todo tu patrimonio.

Nuestra guía sobre cómo guardar criptomonedas de forma segura explica las bases de una custodia segura, y la comparativa de monederos hardware reúne los dispositivos adecuados.

Las claves de la nube como puerta de entrada: por qué la infraestructura se convierte en un riesgo para las blockchains

El caso de Initia se suma a una serie de ataques en los que el smart contract queda intacto y lo que falla es su entorno. Esta misma semana, el puente Across informó de un dominio secuestrado que llevaba a los usuarios a una página manipulada. En Initia fue una clave de la nube. En ambos casos, revisar solo el código no habría servido de nada.

Para los inversores es una conclusión incómoda. Un sello de auditoría dice algo sobre el código revisado, pero nada sobre cómo gestiona un equipo sus contraseñas, claves y servidores. Sobre todo las redes jóvenes con rollups propios operan mucha infraestructura por su cuenta, y cada componente es un posible punto de ataque. Cuantas más piezas tiene un sistema, más claves hay que pueden perderse.

Por eso, una señal de profesionalidad es la transparencia con la que un proyecto informa tras un incidente. Initia describió la vía de ataque relativamente pronto. Sin embargo, aún falta un análisis completo con cronología y contramedidas, y ese es el listón con el que habrá que medir al proyecto.

Hackeo de Initia: sin fecha de reinicio, la red sigue congelada

Mientras Initia no dé una fecha para el reinicio, los tokens de la red seguirán bloqueados y cualquier comunicado sobre reembolsos deberá leerse con cautela. Ahora conviene hacer tres cosas:

1. Si quieres comprar o vender INIT, utiliza un exchange autorizado en la UE; la comparativa de exchanges cripto regulados muestra qué proveedores tienen licencia MiCA.
2. Los fondos grandes están mejor en tu propio monedero hardware que en redes jóvenes; encontrarás dispositivos adecuados en la comparativa de monederos hardware.
3. Para experimentar con DeFi conviene un monedero aparte con poco saldo; la comparativa de wallets de software muestra qué aplicaciones sirven para ello.

(11 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)