Взлом Initia обрушил резерв моста USDC до $63
По данным Bitquery, 23 октября злоумышленник истощил резервы, обеспечивавшие токены USDC на Initia, из-за чего попытки вывода средств не проходили. Резерв USDC, стоявший за представленными на Initia токенами, хранился в блокчейне Noble. Bitquery зафиксировала снижение примерно с $1 млн перед выводами до внутридневного минимума $63 в 15:37 UTC 23 октября. При следующей проверке в 18:52 UTC того же дня в резерве оставалось около $24 000.
До остановки Bitquery насчитала 55 неудачных обычных попыток вывода USDC. Большинство из них исходило от одного бота, который многократно отправлял один и тот же баланс. Более крупные запросы атакующего также не прошли, когда резерва стало недостаточно. Initia сообщила, что L1 и роллапы проекта остановились в 15:41:30 UTC 23 октября.
Сооснователь ItsAlwaysZonny первоначально оценил, что до паузы через мосты ушло около $3 млн. Bitquery оценила выплаты из резервов моста примерно в $3 млн реальных активов и отделила эту сумму от примерно $7 млн номинальной стоимости несанкционированных балансов. Легитимные токены, представленные на Initia, Bitquery описывает как требования, обеспеченные активами в других блокчейнах. Для вывода таких токенов соответствующий резерв должен высвободить обеспечивающие активы. Несанкционированные балансы позволили атакующему претендовать на активы резерва, не внеся предварительно эквивалентные депозиты.
Circle отличает сторонние мостовые токены, обеспеченные USDC, заблокированными в другом блокчейне, от нативных USDC, которые Circle выпускает и погашает за доллары. Опустошенный резерв моста может блокировать выводы, но это не свидетельствует о сбое в долларовом обеспечении Circle на уровне эмитента.
К истории также оказалась причастна Agora, отдельный эмитент, через риск, связанный с AUSD. Agora заявила, что ее контракт AUSD не развертывался на Initia и AUSD там не выпускались. Затронутая подверженность касалась отдельного стороннего продукта, использующего AUSD в Ethereum, которым Agora не управляла.
В обновлении от 24 октября Initia связала эксплойт с багом кэширования скриптов MoveVM, позволившим обойти проверки безопасности. По заявлению Initia, атакующий создал необеспеченные балансы WETH, iUSD и USDC, не изменив соответствующие общие объемы предложения. Нативные INIT не выпускались. По состоянию на 08:46 UTC 24 октября L1 и роллапы проекта все еще были остановлены. Initia рассчитывала завершить и провести аудит исправления в течение нескольких дней. Работа по возврату активов продолжалась. Точная дата перезапуска и условия компенсации не названы; восстановление недостающего обеспечения моста остается нерешенным.
