В блокчейн-сети Initia злоумышленник воспользовался программной ошибкой для вывода реальных криптоактивов на сумму около 2,7 млн долларов. Атака началась 23 октября около 14:59 UTC, когда преступник начал начислять на свои счета ничем не обеспеченные токены WETH, iUSD и USDC. В результате уязвимости в кэшировании сценариев виртуальной машины MoveVM проверки безопасности были обойдены, а внутреннее состояние сети подменено. При этом собственная криптовалюта сети INIT подделке не подверглась, так как ошибка затронула только стороннее представление актива, использовавшее межсетевые мосты.
Для реализации кражи хакер использовал межсетевые мосты LayerZero, Noble и протокол Circle CCTP, которые позволили перевести стоимость между блокчейнами. Злоумышленник предъявил созданные без обеспечения балансы, и мосты выплатили средства из резервов, предназначенных для обычных пользователей. До остановки блокчейна преступник успел перевести через LayerZero около 1,4 млн AUSD0 и 105 WETH, а через сети Noble и CCTP еще примерно 1,08 млн USDC. Выведенные активы были обменяны на 1135,52 ETH и собраны на одном адресе Ethereum. Компания Bitquery восстановила движение средств, а аналитики оценили, что за 13 секунд атакующий создал фиктивные активы с условной стоимостью 7,48 млн долларов, но фактически смог вывести лишь около 2,73 млн.
В ответ на инцидент 23 октября в 15:41:30 UTC разработчики прекратили работу основного блокчейна первого уровня и связанных сетей Rollup для обработки транзакций. На следующий день команда Initia объяснила причину взлома, указав на ошибку в кэшировании, которая позволяла обходить проверки безопасности. Значительные потери понес резерв моста для USDC в сети Noble, который сократился с 1,09 млн долларов до 63 долларов за 36 минут. Еще до остановки сети зафиксировали 55 неудачных попыток вывода USDC, преимущественно от одного торгового бота. Аналогичные резервы для ETH и AUSD также потеряли значительную часть средств.
По состоянию на 26 октября подтверждения возобновления работы сети не поступало. Биржи Bithumb и Upbit присвоили токенам INIT статус актива повышенного риска, приостановив ввод и вывод средств. Эмитент стейблкоина AUSD компания Agora уточнила, что не выпускала этот актив непосредственно в Initia, поэтому обеспечение самого AUSD не пострадало. Initia готовит исправление и аудит кода, а также пытается вернуть активы при поддержке партнеров, однако сроки восстановления работы и окончательный размер потерь пока не определены.
