Hack su Initia: riserva del bridge USDC giù a 63 dollari

Bitquery ha rilevato che un attaccante ha prosciugato le riserve a garanzia dei token USDC su Initia durante l'exploit del 23 ottobre, facendo fallire i tentativi di prelievo. La blockchain Noble custodiva la riserva USDC a garanzia dei token rappresentati su Initia. Bitquery ha misurato una contrazione da circa 1 milione di dollari prima dei prelievi a un minimo intraday di 63 dollari alle 15:37 UTC del 23 ottobre. In un controllo successivo, alle 18:52 UTC dello stesso giorno, Bitquery ha registrato una riserva di circa 24.000 dollari. Bitquery ha contato 55 tentativi ordinari di prelievo USDC falliti prima della sospensione. La maggior parte dei tentativi proveniva da un bot che inviava ripetutamente lo stesso saldo. Anche le richieste di prelievo più grandi dell'attaccante sono fallite quando la riserva è diventata insufficiente. Initia ha dichiarato che la propria L1 e i rollup si sono fermati alle 15:41:30 UTC del 23 ottobre. Il cofondatore ItsAlwaysZonny aveva stimato inizialmente che circa 3 milioni di dollari fossero usciti attraverso i bridge prima della pausa. Bitquery ha stimato che le riserve dei bridge abbiano pagato circa 3 milioni di dollari in asset reali. Bitquery ha distinto questo esborso dal valore nominale di circa 7 milioni di dollari dei saldi non autorizzati. Bitquery ha descritto i token legittimi rappresentati su Initia come crediti garantiti da asset detenuti su altre blockchain. Bitquery ha spiegato che prelevare tali token richiede che la riserva pertinente rilasci gli asset di garanzia. Bitquery ha affermato che i saldi non autorizzati hanno permesso all'attaccante di rivendicare asset di riserva senza prima effettuare depositi equivalenti. Circle distingue i token bridged di terze parti garantiti da USDC bloccati su un'altra blockchain dagli USDC nativi che Circle emette e rimborsa in dollari. Una riserva del bridge prosciugata può impedire i prelievi senza dimostrare alcun cedimento nella copertura in dollari di Circle a livello di emittente. Agora, un altro emittente, è stata coinvolta tramite esposizione legata ad AUSD. Agora ha dichiarato che il contratto AUSD di Agora non era stato distribuito su Initia e che lì non era stato coniato alcun AUSD. L'esposizione interessata riguardava un prodotto di terze parti separato che utilizzava AUSD su Ethereum e che Agora non gestiva. Initia ha attribuito l'exploit, in un aggiornamento del 24 ottobre, a un bug di caching degli script di MoveVM che consentiva di aggirare i controlli di sicurezza. Initia ha affermato che l'attaccante ha generato saldi non garantiti di WETH, iUSD e USDC lasciando invariata l'offerta totale corrispondente. Initia ha precisato che nessun INIT nativo è stato coniato. Alle 08:46 UTC del 24 ottobre, Initia ha dichiarato che la propria L1 e i rollup erano ancora fermi. Initia prevedeva il completamento e l'audit di una correzione entro pochi giorni. Le attività di recupero degli asset sono proseguite. Initia non ha fornito una data certa di riavvio né termini di rimborso, lasciando irrisolta la ricostituzione della garanzia mancante del bridge.