Initiaハック、USDCブリッジ準備金が63ドルに急減

Bitqueryの調査によると、10月23日のエクスプロイトで攻撃者がInitia上のUSDCトークンを裏付ける準備金を枯渇させ、出金が失敗する事態を招いた。準備金を保有していたのはNobleブロックチェーン。出金開始前の約100万ドルから、同日15:37 UTCには日中安値の63ドルまで落ち込んだ。18:52 UTCの再確認時点でも残高は約2万4000ドルにとどまった。 停止までに通常のUSDC出金は55件が失敗。大半は1つのbotが同一残高を繰り返し送信したものだった。攻撃者による大口出金も準備金不足で失敗した。 Initiaは10月23日15:41:30 UTCにL1とロールアップを停止した。共同創業者のItsAlwaysZonny氏は、停止前にブリッジ経由で約300万ドルが流出したとの推計を当初示した。Bitqueryは、ブリッジ準備金が実資産で約300万ドルを支払ったと推定。不正に生じた残高の額面約700万ドルとは別物だとした。 Bitqueryは、Initia上で表象される正規トークンを、他チェーンに保有される資産に裏付けられた請求権と説明する。出金には該当する準備金が裏付け資産を放出する必要がある。不正残高を使えば、同額を預け入れずに準備金資産を請求できた。 Circleは、他チェーンにロックされたUSDCに裏付けられたサードパーティのブリッジトークンと、同社が発行・償還するネイティブUSDCを区別している。ブリッジ準備金の枯渇は出金を妨げても、Circleの発行体全体のドル裏付けに問題が生じたわけではない。 AUSD関連のエクスポージャーを巡っては、別の発行体Agoraが関与した。Agoraによると、同社のAUSDコントラクトはInitiaに展開されておらず、AUSDもミントされていない。影響を受けたのは、Agoraが運営しないイーサリアム上のAUSDを利用する別のサードパーティ製品だった。 Initiaは10月24日の更新で、MoveVMのスクリプトキャッシュのバグによりセキュリティチェックが回避されたと説明。攻撃者はWETH、iUSD、USDCの裏付けのない残高を生成し、対応する総供給量は変えなかった。ネイティブINITのミントはない。 同社は10月24日08:46 UTC時点でもL1とロールアップが停止中とし、修正の完了と監査を数日以内に見込むとした。資産回収は継続中。再開時期や補償条件は示しておらず、失われたブリッジ裏付けの回復は未解決のままだ。