Initia-hack: gelekte cloudsleutel kost 3,27 miljoen dollar, blockchain ligt stil

De layer-1-blockchain Initia is voor de tweede keer in drie weken aangevallen. Dit keer zat de zwakke plek niet in de code van de blockchain, maar in de cloudinfrastructuur van het project: met een gecompromitteerde Google Cloud-sleutel kreeg een aanvaller toegang tot interne systemen en keurde hij vervalste opnames uit vijf rollups goed. Volgens Initia werd zo ongeveer 3,27 miljoen dollar verplaatst, waarvan zo’n 2,16 miljoen dollar bevroren staat op de stilgelegde blockchain. Het netwerk ligt sinds dinsdag 10 november stil.

Wie INIT of tokens op een van de Initia-rollups heeft, kan op dit moment niets on-chain verplaatsen. Voor beleggers telt nu vooral waar de eigen coins staan, welke berichten echt zijn en hoe je je beschermt tegen de valse terugbetalingssites die na zulke incidenten steevast opduiken.

Initia-hack: wat er op 9 en 10 november gebeurde

Het verloop valt te reconstrueren uit de berichten van het project en een artikel van Cointelegraph van 11 november. Op maandag 9 november verschafte de aanvaller zich toegang tot de infrastructuur van Initia. Het project schreef zelf op 10 november op X (account @initia) dat een aanvaller zich op 9 november ‘via een command-injection-aanval onbevoegd toegang tot de infrastructuur van Initia had verschaft’.

Op dinsdag stopten de validators de blokproductie van de layer-1-blockchain. Door die stop kon een deel van de buit worden vastgehouden, want op een stilgelegde blockchain kan niemand tegoeden doorsturen, ook de aanvaller niet. Op woensdag bevestigde Initia het hogere schadebedrag van 3,27 miljoen dollar. De eerste schattingen op dinsdag lagen een stuk lager, omdat aanvankelijk alleen de uitstroom zichtbaar was die de blockchain al had verlaten.

Wie er getroffen is

Direct getroffen zijn de escrow-rekeningen van vijf rollups. Een escrow-rekening is een bewaarrekening op de blockchain die de tegenwaarde bewaart van tokens die tussen twee netwerken heen en weer worden gestuurd. Haalt iemand zo’n rekening leeg, dan missen de tokens aan de andere kant hun dekking. Initia benadrukt dat er geen INIT-tokens zijn weggehaald; getroffen zijn overgezette tegoeden zoals USDC en TIA.

Command injection en een Google Cloud-sleutel: de aanvalsroute

Command injection is een aanval waarbij een systeem opdrachten uitvoert die een aanvaller in een invoer heeft gesmokkeld. Bij Initia ging deze aanval volgens Cointelegraph uit van een gecompromitteerde sleutel voor Google Cloud Platform. Volgens de lezing van Initia, waarover onder meer CoinCentral bericht, was de sleutel eigenlijk bedoeld voor het opzetten van privénodes.

Via die toegang kwam de aanvaller bij omgevingsvariabelen. Dat zijn configuratiewaarden waarin software vaak wachtwoorden en toegangssleutels opslaat. Daarmee gingen de GitHub- en cloudaccounts van Initia en andere inloggegevens open. Eindpunt was de toegang tot Anvil, het platform waarop de rollups van het netwerk draaien.

Een rollup is een eigen blockchain die transacties bundelt en voor zijn beveiliging leunt op een bovenliggende blockchain, hier het Initia-netwerk. Wie de rollup-infrastructuur beheert, kan handelingen bevestigen die nooit hadden mogen plaatsvinden. Precies dat gebeurde: de aanvaller bevestigde vervalste IBC-opnames uit vijf rollups.

IBC staat voor Inter-Blockchain Communication, het overdrachtsprotocol van het Cosmos-ecosysteem waarmee tokens tussen zelfstandige blockchains bewegen. Een IBC-opname geeft tegoeden vrij uit een escrow-rekening zodra de andere kant de overdracht bevestigt. Bevestigt een aanvaller zelf, dan stroomt er geld weg zonder echte tegenboeking.

3,27 miljoen dollar uit vijf rollups: de schade in cijfers

De aanvaller verkocht een deel van de vrijgegeven tegoeden op de gedecentraliseerde exchange van Initia en haalde volgens Cointelegraph 13.400 TIA, 8.000 USDC.inj en 597.000 Noble USDC weg. TIA is de token van het Celestia-netwerk, USDC.inj en Noble USDC zijn varianten van de stablecoin USDC op de blockchains Injective en Noble.

Van het totaal van ongeveer 3,27 miljoen dollar staat volgens Initia nog zo’n 2,16 miljoen dollar bevroren op het stilgelegde netwerk. Rekenkundig heeft dus ruim een miljoen dollar het Initia-ecosysteem daadwerkelijk verlaten. Of de bevroren tegoeden volledig veilig te stellen zijn, hangt af van hoe de herstart van het netwerk verloopt.

De cijfers komen tot nu toe alleen van het project zelf; een onafhankelijke post-mortem van een beveiligingsbedrijf is er nog niet. Initia zegt samen te werken met opsporingsinstanties en beveiligingspartners, maar noemt die niet bij naam.

Tweede exploit in drie weken: het verschil met de MoveVM-fout van 23 oktober

De aanval is al het tweede incident bij Initia in korte tijd. Op 23 oktober had een aanvaller een fout in de scriptcache van de MoveVM uitgebuit, de virtuele machine waarin de smart contracts van Initia draaien. Toen ontstonden tokentegoeden zonder dekking, en volgens Cointelegraph stroomde er zo’n 2,7 miljoen dollar weg. We beschreven het eerste geval in ons artikel over de netwerkstop na de onbeperkte mint.

Technisch hebben beide incidenten weinig gemeen. In oktober zat de fout in het protocol, dus in code die iedereen openbaar kan controleren. In november zat de zwakke plek in de bedrijfsomgeving: cloudaccounts, toegangssleutels en interne tools. Voor houders is het resultaat toch vergelijkbaar, want in beide gevallen moest het netwerk worden stilgelegd. Of dezelfde aanvaller achter beide gevallen zit, heeft Initia niet gemeld.

Waarom twee incidenten zwaarder wegen dan één

Een enkele exploit kan elk jong netwerk overkomen. Twee incidenten binnen drie weken in twee verschillende lagen roepen wel vragen op over de interne processen: hoe worden sleutels beheerd, wie heeft toegang tot productiesystemen en hoe snel ziet het team ongebruikelijke opnames? Antwoorden daarop komen pas met een uitgebreide analyse, die Initia nog niet heeft gepubliceerd.

INIT-koers na de hack: 102 procent hoger in zeven dagen

De reactie van de markt is opvallend. Volgens CoinGecko kostte INIT woensdagochtend rond 0,26 dollar, omgerekend zo’n 0,23 euro. Dat is ruim 20 procent meer dan 24 uur eerder en zo’n 102 procent meer dan een week geleden. De marktkapitalisatie lag rond 57 miljoen dollar. Van het record van 1,42 dollar uit mei 2025 is de koers ondanks de sprong nog ver verwijderd.

Een onderbouwde reden voor de stijging noemen het project noch de vakmedia. Koersbewegingen bij tokens met een kleine marktkapitalisatie ontstaan na hacks vaak door het dekken van shortposities of door kortetermijnweddenschappen op herstel. Dat is een inschatting, geen bewijs. Voor beleggers betekent het vooral: zo’n koerssprong is geen signaal dat het incident achter de rug is.

INIT wordt volgens CoinGecko onder meer verhandeld op Binance, Kraken, Bitvavo, Bybit en Bitget. Zolang de blockchain stilligt, hangen stortingen en opnames van INIT op exchanges af van hoe het afzonderlijke platform daarmee omgaat. De actuele stand zie je op de statuspagina van je exchange. Wie INIT wil verhandelen, doet dat bij voorkeur bij een platform met een vergunning onder MiCA; een overzicht biedt onze vergelijking van gereguleerde cryptobeurzen.

Netwerkstop en dekking: wat Initia toezegt voor getroffen tokens

Initia heeft aangekondigd de dekking van de getroffen tegoeden te herstellen. Bedoeld is dat tokens op de rollups weer volledig gedekt moeten zijn door tegenwaarden in de escrow-rekeningen. Hoe dat gebeurt, bijvoorbeeld uit eigen middelen van het project of uit teruggehaald geld, is niet bekend. Een datum voor de herstart van het netwerk noemen de berichten tot nu toe niet.

Tot die tijd geldt: wie tokens op de Initia-blockchain of een van haar rollups heeft, kan ze niet verplaatsen, ook niet in veiligheid brengen. Dat is lastig, maar voorkomt tegelijk dat de aanvaller de bevroren 2,16 miljoen dollar verder doorschuift. Wie INIT daarentegen op een centrale exchange aanhoudt, merkt de netwerkstop alleen indirect: de handel op de exchange kan doorgaan, stortingen en opnames naar het netwerk niet.

Zo bescherm je je na de Initia-hack tegen valse terugbetalingssites

Wat er gebeurde: op 9 november drong een aanvaller via een gecompromitteerde Google Cloud-sleutel de infrastructuur van Initia binnen en keurde hij vervalste IBC-opnames uit vijf rollups goed. Volgens Initia werd zo’n 3,27 miljoen dollar verplaatst, en staat ongeveer 2,16 miljoen dollar bevroren op het sinds 10 november stilgelegde netwerk (peildatum 11 november).

Ben je getroffen? Getroffen kan zijn wie tokens op de Initia-blockchain of haar rollups heeft, vooral overgezette tegoeden zoals USDC of TIA. Wie INIT alleen op een exchange heeft, is niet direct getroffen, maar kan tot de herstart geen INIT naar het netwerk opnemen. Welke vijf rollups precies zijn geraakt, heeft Initia nog niet openbaar uitgesplitst; let daarom op de berichten van het project via de officiële kanalen.

1. Alleen officiële kanalen: lees nieuws over de herstart uitsluitend op de website van Initia, die je als bladwijzer hebt opgeslagen, en op het geverifieerde X-account, nooit via links uit chats of reacties onder berichten.
2. Geen terugbetalingsformulieren: vul geen ‘claim’- of ‘refund’-formulier in dat je vraagt je wallet te koppelen, zolang Initia zelf geen procedure heeft aangekondigd.
3. Goedkeuringen opruimen: controleer met een tool als Revoke.cash welke tokengoedkeuringen je wallet aan Initia-apps en bridges heeft gegeven, en trek alle in die je niet meer nodig hebt.
4. Geen overdrachten forceren: probeer geen tokens via onofficiële bridges of diensten uit het stilgelegde netwerk te halen; wie zoiets aanbiedt, is meestal uit op je herstelzin.
5. Bezit scheiden: bewaar grotere bedragen op een hardware wallet en gebruik voor experimenten met jonge netwerken een aparte wallet met een klein saldo, zodat een incident nooit je hele vermogen raakt.

De basis van veilige opslag legt onze gids crypto veilig bewaren uit, geschikte apparaten zet de hardware wallet-vergelijking naast elkaar.

Cloudsleutels als toegangspoort: waarom infrastructuur een risico wordt voor blockchains

De Initia-zaak past in een reeks aanvallen waarbij het smart contract intact blijft en de omgeving faalt. Pas deze week meldde de bridge Across een gekaapt domein, waarmee gebruikers op een gemanipuleerde site belandden. Bij Initia was het een cloudsleutel. In beide gevallen had alleen een controle van de code niet geholpen.

Voor beleggers is dat een ongemakkelijke vaststelling. Een auditkeurmerk zegt iets over de gecontroleerde code, maar niets over hoe een team zijn wachtwoorden, sleutels en servers beheert. Juist jonge netwerken met eigen rollups draaien veel infrastructuur zelf, en elk onderdeel is een mogelijk aanvalspunt. Hoe meer onderdelen een systeem heeft, hoe meer sleutels er zijn die kunnen uitlekken.

Een teken van professionaliteit is daarom hoe open een project na een incident communiceert. Initia heeft de aanvalsroute relatief vroeg beschreven. Een volledige analyse met tijdlijn en tegenmaatregelen ontbreekt echter nog, en dat is de maatstaf waaraan het project zich moet laten meten.

Initia-hack: zonder herstartdatum blijft het netwerk bevroren

Zolang Initia geen datum voor de herstart noemt, blijven tokens op het netwerk geblokkeerd en zijn berichten over terugbetalingen met voorzichtigheid te lezen. Drie dingen zijn nu zinvol:

1. Wie INIT wil kopen of verkopen, gebruikt daarvoor een exchange met een vergunning in de EU, bij voorkeur een aanbieder met een MiCA-licentie.
2. Grotere bedragen staan beter op een eigen hardware wallet dan op jonge netwerken; geschikte apparaten vind je in de hardware wallet-vergelijking.
3. Voor DeFi-experimenten is een aparte wallet met een klein saldo geschikt, bij voorkeur een softwarewallet die je alleen daarvoor gebruikt.

(Per 11 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)