Un hackeo a Initia hunde la reserva del puente de USDC hasta los 63 dólares
Bitquery determinó que un atacante agotó las reservas que respaldaban los tokens USDC en Initia durante el exploit del 23 de octubre, lo que provocó el fracaso de los intentos de retirada. La blockchain Noble custodiaba la reserva de USDC que respaldaba los tokens representados en Initia. Bitquery midió un descenso desde cerca de 1 millón de dólares antes de las retiradas hasta un mínimo intradía de 63 dólares a las 15:37 UTC del 23 de octubre. En una comprobación posterior ese mismo día, a las 18:52 UTC, la reserva registrada era de unos 24.000 dólares. Bitquery contabilizó 55 intentos fallidos de retirada ordinaria de USDC antes de la suspensión. La mayoría procedía de un bot que reenviaba una y otra vez el mismo saldo. Las solicitudes de retirada de mayor cuantía del atacante también fallaron al resultar insuficiente la reserva. Initia informó de que su L1 y sus rollups se detuvieron a las 15:41:30 UTC del 23 de octubre. El cofundador ItsAlwaysZonny estimó inicialmente que unos 3 millones de dólares habían salido por los puentes antes de la pausa. Bitquery calculó que las reservas de los puentes desembolsaron cerca de 3 millones de dólares en activos reales, una cifra distinta del valor nominal de unos 7 millones de dólares de los saldos no autorizados. Bitquery describió los tokens legítimos representados en Initia como derechos respaldados por activos depositados en otras blockchains y explicó que retirarlos exige que la reserva correspondiente libere los activos de respaldo. Los saldos no autorizados, según Bitquery, permitieron al atacante reclamar activos de la reserva sin haber realizado antes depósitos equivalentes. Circle distingue los tokens puenteados de terceros respaldados por USDC bloqueado en otra blockchain del USDC nativo que la compañía emite y reembolsa por dólares. El agotamiento de una reserva de puente puede impedir las retiradas sin que ello implique fallo alguno en el respaldo en dólares que Circle ofrece como emisor. Agora, un emisor independiente, quedó implicada por exposición relacionada con AUSD. Agora aseguró que su contrato AUSD no se había desplegado en Initia y que allí no se había acuñado ningún AUSD. La exposición afectada correspondía a un producto de terceros distinto que utiliza AUSD en Ethereum y que Agora no opera. Initia atribuyó el exploit, en una actualización del 24 de octubre, a un fallo en la caché de scripts de MoveVM que permitía eludir las comprobaciones de seguridad. Initia señaló que el atacante generó saldos sin respaldo de WETH, iUSD y USDC manteniendo invariables los suministros totales correspondientes, y que no se había acuñado ningún INIT nativo. A las 08:46 UTC del 24 de octubre, Initia indicó que su L1 y sus rollups seguían detenidos. La compañía esperaba completar y auditar una corrección en cuestión de días. Las labores de recuperación de activos continuaban. Initia no facilitó una fecha firme de reinicio ni condiciones de reembolso, de modo que la restauración del respaldo perdido del puente sigue sin resolverse.
