В блокчейне Initia поддельные балансы превратились в реальные криптоактивы стоимостью около 2,7 млн долларов. Злоумышленник воспользовался программной ошибкой, вывел средства через межсетевые мосты и вынудил разработчиков остановить сеть. 23 октября в 15:41:30 UTC прекратили работу основной блокчейн первого уровня и связанные сети Rollup для обработки транзакций приложений.
На следующий день команда Initia объяснила причину взлома. Ошибка в кэшировании сценариев виртуальной машины MoveVM позволяла обходить проверки безопасности и подменять внутреннее состояние сети. В результате атакующий начислил на собственные счета ничем не обеспеченные WETH, iUSD и USDC, причём учёт общего выпуска токенов не изменился. Собственная криптовалюта сети INIT подделке не подверглась.
Атака началась 23 октября около 14:59 UTC. До остановки блокчейна преступник успел перевести через LayerZero около 1,4 млн AUSD0 и 105 WETH, а через сеть Noble и протокол Circle CCTP ещё примерно 1,08 млн USDC. Выведенные активы обменяли на 1135,52 ETH и собрали на одном адресе Ethereum. Денежная оценка переводов остаётся предварительной, поскольку проверка последствий продолжается.
Межсетевые мосты позволяют переносить стоимость между блокчейнами. Обычно мост блокирует настоящие монеты в резерве и выпускает эквивалентные токены в другой сети. При обратном переводе резерв отдаёт реальные активы. В случае Initia злоумышленник предъявил созданные без обеспечения балансы, и мосты выплатили средства из резервов для обычных пользователей.
Компания Bitquery восстановила движение средств по блокчейнам. По оценке аналитиков, за 13 секунд атакующий создал фиктивные активы с условной стоимостью 7,48 млн долларов, но фактически смог вывести около 2,73 млн. Остальная сумма не равна украденным деньгам. Значительная часть поддельных iUSD осталась внутри остановленной сети без возможности обмена на реальные монеты.
Самые заметные последствия возникли у моста для USDC. По расчётам Bitquery, резерв в сети Noble сократился с 1,09 млн долларов до 63 долларов за 36 минут. Ещё до остановки Initia зафиксировали 55 неудачных попыток обычного вывода USDC, преимущественно от одного торгового бота. Аналогичные резервы для ETH и AUSD также потеряли значительную часть средств.
Сходный принцип сработал при августовском взломе Maya Protocol. Тогда ошибки в учёте позволили обменять фиктивные токены на реальные активы, однако в Initia причиной стал сбой MoveVM. Эмитент стейблкоина AUSD компания Agora уточнила, что не выпускала AUSD непосредственно в Initia, а обеспечение самого AUSD не пострадало. Взлом затронул стороннее представление актива, использовавшее межсетевой мост.
Initia готовит исправление и аудит кода, а также пытается вернуть активы при поддержке партнёров. По состоянию на 26 октября подтверждения возобновления работы сети нет. Биржи Bithumb и Upbit присвоили INIT статус актива повышенного риска, ввод и вывод токенов приостановлены. Сроки восстановления работы и окончательный размер потерь пока не определены.