Initia-Hack drückt USDC-Bridge-Reserve auf 63 US-Dollar

Bitquery stellte fest, dass ein Angreifer bei dem Exploit vom 23. Oktober die Reserven leerte, die USDC-Token auf Initia absichern; Auszahlungsversuche scheiterten. Die USDC-Reserve, die die auf Initia abgebildeten Token deckte, lag auf der Noble-Blockchain. Bitquery maß einen Rückgang von rund 1 Mio. US-Dollar vor den Abhebungen auf ein Intraday-Tief von 63 US-Dollar am 23. Oktober um 15:37 Uhr UTC. Bei einer späteren Prüfung um 18:52 Uhr UTC an diesem Tag erfasste Bitquery rund 24.000 US-Dollar in der Reserve. Vor dem Stopp zählte Bitquery 55 fehlgeschlagene gewöhnliche USDC-Auszahlungsversuche. Die meisten Versuche stammten von einem Bot, der wiederholt dieselbe Balance einreichte. Auch größere Auszahlungsanforderungen des Angreifers scheiterten, als die Reserve nicht ausreichte. Initia erklärte, die L1 und Rollups des Projekts hätten am 23. Oktober um 15:41:30 Uhr UTC den Betrieb eingestellt. Mitgründer ItsAlwaysZonny schätzte zunächst, dass vor der Pause rund 3 Mio. US-Dollar über Bridges abgeflossen seien. Bitquery schätzte, dass Bridge-Reserven etwa 3 Mio. US-Dollar in realen Vermögenswerten auszahlten. Bitquery unterschied diese Auszahlung vom Nennwert der nicht autorisierten Bestände von rund 7 Mio. US-Dollar. Bitquery beschrieb legitime, auf Initia abgebildete Token als Ansprüche, die durch auf anderen Blockchains gehaltene Vermögenswerte gedeckt sind. Für die Auszahlung dieser Token müsse die jeweilige Reserve die hinterlegten Vermögenswerte freigeben. Nicht autorisierte Bestände erlaubten dem Angreifer, Reservevermögenswerte zu beanspruchen, ohne zuvor entsprechende Einzahlungen zu leisten. Circle unterscheidet zwischen von Dritten gebridgten Token, die durch auf einer anderen Blockchain gesperrte USDC gedeckt sind, und nativem USDC, das Circle ausgibt und gegen Dollar einlöst. Eine leere Bridge-Reserve kann daher Auszahlungen verhindern, ohne dass ein Ausfall in Circles unternehmensweiter Dollar-Deckung festgestellt wäre. Der separate Emittent Agora war über ein AUSD-bezogenes Engagement beteiligt. Agora erklärte, der AUSD-Vertrag von Agora sei nicht auf Initia eingesetzt und dort sei kein AUSD gemintet worden. Das betroffene Engagement betraf ein separates Drittprodukt, das AUSD auf Ethereum nutzte und nicht von Agora betrieben wurde. Initia führte den Exploit in einem Update vom 24. Oktober auf einen MoveVM-Script-Caching-Bug zurück, der Sicherheitsprüfungen umgehen ließ. Initia erklärte, der Angreifer habe ungedeckte Bestände in WETH, iUSD und USDC erzeugt, während die entsprechenden Gesamtangebote unverändert blieben. Natives INIT sei nicht gemintet worden. Am 24. Oktober um 08:46 Uhr UTC erklärte Initia, die L1 und Rollups des Projekts seien weiterhin gestoppt. Initia erwartete den Abschluss und die Prüfung einer Fehlerbehebung innerhalb weniger Tage. Die Bemühungen zur Wiederbeschaffung der Vermögenswerte liefen weiter. Initia nannte weder einen festen Neustarttermin noch Erstattungsbedingungen; die Wiederherstellung der fehlenden Bridge-Deckung bleibt ungelöst.