Злам Initia обвалив резерв мосту USDC до $63

Bitquery виявила, що під час експлойту 23 жовтня атакувальник спустошив резерви, які забезпечували токени USDC на Initia, через що спроби виведення коштів зазнали невдачі. Резерв USDC, що стояв за представленими на Initia токенами, зберігався в блокчейні Noble. За вимірюваннями Bitquery, резерв скоротився з приблизно $1 млн перед виведеннями до внутрішньоденного мінімуму $63 о 15:37 UTC 23 жовтня. Під час наступної перевірки о 18:52 UTC того ж дня Bitquery зафіксувала в резерві близько $24 000. До зупинки Bitquery зафіксувала 55 невдалих звичайних спроб виведення USDC. Більшість спроб робив один бот, який повторно подавав той самий баланс. Більші запити на виведення від атакувальника також не проходили, коли резерву не вистачало. Initia повідомила, що її L1 і ролапи зупинилися о 15:41:30 UTC 23 жовтня. Співзасновник ItsAlwaysZonny спочатку оцінив, що до паузи через мости вийшло близько $3 млн. Bitquery оцінила, що резерви мостів виплатили близько $3 млн у реальних активах. Цю виплату Bitquery відокремила від приблизно $7 млн номінальної вартості несанкціонованих балансів. Bitquery описала легітимні токени, представлені на Initia, як права вимоги, забезпечені активами, що зберігаються в інших блокчейнах. За її поясненням, для виведення таких токенів відповідний резерв має вивільнити забезпечувальні активи. Несанкціоновані баланси дали атакувальнику змогу претендувати на активи резерву, не вносячи спочатку еквівалентних депозитів. Circle відрізняє сторонні мостові токени, забезпечені USDC, заблокованими в іншому блокчейні, від нативних USDC, які Circle випускає та погашає за долари. Спустошений резерв мосту може блокувати виведення, не означаючи жодного збою в доларовому забезпеченні Circle на рівні емітента. Окремий емітент Agora був залучений через експозицію, пов'язану з AUSD. Agora заявила, що контракт AUSD не розгортали на Initia і AUSD там не карбували. Постраждала експозиція стосувалася окремого стороннього продукту з використанням AUSD в Ethereum, який Agora не керує. В оновленні від 24 жовтня Initia пов'язала експлойт із багом кешування скриптів MoveVM, який дозволив обійти перевірки безпеки. За словами Initia, атакувальник згенерував незабезпечені баланси WETH, iUSD і USDC, залишивши відповідну загальну пропозицію незмінною. Нативний INIT не карбували. Станом на 08:46 UTC 24 жовтня L1 і ролапи Initia все ще були зупинені. Initia очікувала завершити виправлення та його аудит протягом кількох днів. Зусилля з повернення активів тривали. Проект не надав чіткої дати перезапуску чи умов відшкодування, залишивши відновлення відсутнього забезпечення мосту невирішеним.