Un piratage d’Initia fait chuter la réserve du pont USDC à 63 dollars
Une attaque contre Initia a vidé la réserve qui adossait les jetons USDC du réseau lors de l’exploit du 23 octobre, faisant échouer les tentatives de retrait. Cette réserve, adossant les jetons représentés sur Initia, était détenue sur la blockchain Noble.
Selon Bitquery, elle est passée d’environ 1 million de dollars avant les retraits à un plus bas intrajournalier de 63 dollars, à 15h37 UTC le 23 octobre. Un contrôle effectué le même jour à 18h52 UTC ne mesurait plus qu’environ 24 000 dollars.
Bitquery a recensé 55 tentatives de retrait USDC ordinaires soldées par un échec avant l’arrêt. La plupart provenaient d’un bot soumettant à répétition le même solde. Les demandes de retrait plus importantes de l’attaquant ont elles aussi échoué, la réserve étant devenue insuffisante.
Initia a indiqué que son L1 et ses rollups s’étaient arrêtés à 15h41min30 UTC le 23 octobre. Le cofondateur ItsAlwaysZonny avait d’abord estimé à environ 3 millions de dollars les fonds sortis via les ponts avant la mise en pause. Bitquery évalue à environ 3 millions de dollars les actifs réels versés par les réserves des ponts, à distinguer de la valeur nominale, proche de 7 millions de dollars, des soldes non autorisés.
Pour Bitquery, les jetons légitimes représentés sur Initia sont des créances adossées à des actifs détenus sur d’autres blockchains, et leur retrait suppose que la réserve concernée libère les actifs sous-jacents. Les soldes non autorisés ont permis à l’attaquant de réclamer ces actifs sans avoir déposé au préalable les montants équivalents.
Circle distingue les jetons pontés par des tiers, adossés à des USDC verrouillés sur une autre blockchain, des USDC natifs qu’elle émet et rembourse contre des dollars. Une réserve de pont asséchée peut donc bloquer les retraits sans que soit remis en cause l’adossement en dollars de l’ensemble des émissions de Circle.
Agora, un autre émetteur, était exposé via l’AUSD. Agora affirme que son contrat AUSD n’a pas été déployé sur Initia et qu’aucun AUSD n’y a été créé. L’exposition concernée portait sur un produit tiers distinct utilisant l’AUSD sur Ethereum, qu’Agora n’exploite pas.
Dans une mise à jour du 24 octobre, Initia attribue l’exploit à un bug de mise en cache de scripts MoveVM ayant permis de contourner les contrôles de sécurité. L’attaquant a généré des soldes non adossés en WETH, iUSD et USDC sans modifier les masses monétaires correspondantes, précise le projet. Aucun INIT natif n’a été créé.
À 08h46 UTC le 24 octobre, le L1 et les rollups d’Initia restaient à l’arrêt. Le projet tablait sur l’achèvement et l’audit d’un correctif sous quelques jours. Les efforts de récupération des actifs se poursuivaient. Initia n’a donné aucune date de redémarrage ferme ni de modalités d’indemnisation, laissant en suspens la reconstitution de l’adossement manquant du pont.
