Peretasan Initia Tekan Cadangan Jembatan USDC jadi US$63
Bitquery menemukan seorang penyerang menguras cadangan yang menjamin token USDC di Initia dalam eksploitasi 23 Oktober, membuat sejumlah upaya penarikan gagal. Cadangan USDC tersebut tersimpan di blockchain Noble.
Cadangan turun dari sekitar US$1 juta sebelum penarikan menjadi titik terendah intraday US$63 pada 15.37 UTC, 23 Oktober. Pengecekan lanjutan pada 18.52 UTC hari yang sama mencatat cadangan sekitar US$24.000.
Sebanyak 55 upaya penarikan USDC biasa gagal sebelum penghentian. Sebagian besar berasal dari satu bot yang berulang kali mengirimkan saldo yang sama. Permintaan penarikan lebih besar dari penyerang juga gagal setelah cadangan tidak lagi mencukupi.
Initia menyebut L1 dan rollup proyek berhenti pada 15.41.30 UTC, 23 Oktober. Co-founder ItsAlwaysZonny awalnya memperkirakan sekitar US$3 juta telah keluar melalui jembatan sebelum jeda. Bitquery memperkirakan cadangan jembatan membayarkan sekitar US$3 juta aset riil, berbeda dari nilai nominal sekitar US$7 juta atas saldo tidak sah.
Bitquery menggambarkan token sah yang direpresentasikan di Initia sebagai klaim yang dijamin aset yang disimpan di blockchain lain. Penarikan token itu menuntut cadangan terkait melepaskan aset pendukungnya. Saldo tidak sah memungkinkan penyerang mengklaim aset cadangan tanpa lebih dulu menyetor aset setara.
Circle membedakan token bridged pihak ketiga yang dijamin USDC terkunci di blockchain lain dari USDC native yang diterbitkan dan ditebus Circle untuk dolar. Cadangan jembatan yang terkuras dapat mencegah penarikan tanpa menunjukkan adanya kegagalan pada jaminan dolar Circle secara luas.
Agora, penerbit terpisah, terlibat melalui eksposur terkait AUSD. Agora menyatakan kontrak AUSD-nya tidak pernah di-deploy di Initia dan tidak ada AUSD yang dicetak di sana. Eksposur terdampak berasal dari produk pihak ketiga terpisah yang memakai AUSD di Ethereum dan tidak dioperasikan Agora.
Dalam pembaruan 24 Oktober, Initia mengaitkan eksploitasi dengan bug script-caching MoveVM yang memungkinkan pemeriksaan keamanan dilewati. Penyerang menciptakan saldo WETH, iUSD, dan USDC tanpa jaminan tanpa mengubah total pasokan terkait. Tidak ada INIT native yang dicetak.
Pada 08.46 UTC, 24 Oktober, Initia menyatakan L1 dan rollup masih berhenti. Perbaikan diperkirakan rampung dan diaudit dalam beberapa hari. Upaya pemulihan aset terus berjalan. Initia belum memberi tanggal restart pasti maupun ketentuan penggantian, sehingga pemulihan jaminan jembatan yang hilang masih belum tuntas.
