Atak hakerski na Initia obniżył rezerwę mostu USDC do 63 USD

Bitquery ustaliło, że atakujący wyczerpał rezerwy zabezpieczające tokeny USDC w sieci Initia podczas ataku z 23 października, przez co próby wypłaty kończyły się niepowodzeniem. Rezerwa USDC dla tokenów reprezentowanych w sieci Initia znajdowała się w łańcuchu Noble. Bitquery zmierzyło spadek z około 1 mln USD przed wypłatami do śróddziennego minimum 63 USD 23 października o 15:37 UTC. Podczas późniejszej kontroli o 18:52 UTC tego dnia Bitquery odnotowało w rezerwie około 24 tys. USD. Przed wstrzymaniem Bitquery naliczyło 55 nieudanych zwykłych prób wypłaty USDC. Bitquery ustaliło, że większość prób pochodziła od jednego bota, który wielokrotnie wysyłał to samo saldo. Większe żądania wypłaty ze strony atakującego również kończyły się niepowodzeniem, gdy rezerwa stawała się niewystarczająca. Initia podała, że L1 i rollupy projektu zatrzymały się 23 października o 15:41:30 UTC. Współzałożyciel ItsAlwaysZonny wstępnie szacował, że przed pauzą przez mosty wypłynęło około 3 mln USD. Bitquery oszacowało, że rezerwy mostów wypłaciły około 3 mln USD w realnych aktywach. Bitquery odróżniło tę wypłatę od około 7 mln USD wartości nominalnej nieuprawnionych sald. Bitquery określiło legalne tokeny reprezentowane w sieci Initia jako roszczenia zabezpieczone aktywami przechowywanymi w innych łańcuchach. Bitquery wyjaśniło, że wypłata takich tokenów wymaga uwolnienia aktywów zabezpieczających przez odpowiednią rezerwę. Bitquery podało, że nieuprawnione salda pozwoliły atakującemu na roszczenie do aktywów rezerwy bez uprzedniego wniesienia równoważnych depozytów. Circle odróżnia tokeny mostowe stron trzecich zabezpieczone USDC zablokowanym w innym łańcuchu od natywnego USDC, które Circle emituje i wymienia na dolary. Wyczerpana rezerwa mostu może blokować wypłaty, nie oznaczając żadnej awarii w ogólnym zabezpieczeniu dolarowym emitenta Circle. Agora, odrębny emitent, była zaangażowana w związku z ekspozycją na AUSD. Agora podała, że jej kontrakt AUSD nie został wdrożony w sieci Initia i nie wyemitowano tam żadnego AUSD. Zaangażowana ekspozycja dotyczyła odrębnego produktu strony trzeciej wykorzystującego AUSD w Ethereum, którym Agora nie zarządzała. Initia w aktualizacji z 24 października przypisała atak błędowi buforowania skryptów MoveVM, który pozwalał obejść kontrole bezpieczeństwa. Initia podała, że atakujący wygenerował niepokryte salda WETH, iUSD i USDC, pozostawiając odpowiednie całkowite podaże bez zmian. Initia oświadczyła, że nie wyemitowano natywnego INIT. 24 października o 08:46 UTC Initia podała, że L1 i rollupy projektu były nadal wstrzymane. Initia oczekiwała ukończenia i audytu poprawki w ciągu kilku dni. Trwały działania na rzecz odzyskania aktywów. Initia nie podała konkretnej daty restartu ani warunków zwrotu środków, pozostawiając nierozwiązaną kwestię odtworzenia brakującego zabezpieczenia mostu.