Vụ hack Initia đẩy dự trữ cầu nối USDC xuống còn 63 USD

Bitquery phát hiện kẻ tấn công đã rút cạn dự trữ bảo chứng cho token USDC trên Initia trong vụ khai thác ngày 23/10, khiến các nỗ lực rút tiền thất bại. Dự trữ USDC bảo chứng cho các token đại diện trên Initia nằm trên blockchain Noble. Theo đo lường của Bitquery, dự trữ giảm từ khoảng 1 triệu USD trước khi các lệnh rút diễn ra xuống mức thấp nhất trong ngày là 63 USD lúc 15:37 UTC ngày 23/10. Đến 18:52 UTC cùng ngày, Bitquery ghi nhận dự trữ còn khoảng 24.000 USD. Bitquery thống kê 55 lệnh rút USDC thông thường thất bại trước khi hoạt động bị dừng; phần lớn đến từ một bot liên tục gửi cùng một số dư. Các lệnh rút lớn hơn của kẻ tấn công cũng thất bại khi dự trữ không đủ. Initia cho biết L1 và các rollup của dự án dừng lúc 15:41:30 UTC ngày 23/10. Đồng sáng lập ItsAlwaysZonny ban đầu ước tính khoảng 3 triệu USD đã rời đi qua các cầu nối trước khi tạm dừng. Bitquery ước tính dự trữ cầu nối đã chi trả khoảng 3 triệu USD tài sản thực, tách biệt với giá trị danh nghĩa khoảng 7 triệu USD của các số dư trái phép. Bitquery mô tả token hợp pháp được đại diện trên Initia là quyền đòi được bảo chứng bằng tài sản nắm giữ trên các blockchain khác; rút các token này đòi hỏi dự trữ liên quan giải phóng tài sản bảo chứng. Các số dư trái phép cho phép kẻ tấn công đòi tài sản dự trữ mà không cần nạp khoản tương đương trước. Circle phân biệt token cầu nối bên thứ ba được bảo chứng bằng USDC khóa trên blockchain khác với USDC gốc do Circle phát hành và đổi lấy USD. Dự trữ cầu nối cạn kiệt có thể ngăn rút tiền mà không chứng minh bất kỳ thất bại nào trong bảo chứng USD trên toàn hệ thống của Circle. Agora, một đơn vị phát hành riêng, có liên quan qua mức độ tiếp xúc với AUSD. Agora cho biết hợp đồng AUSD của mình chưa được triển khai trên Initia và không có AUSD nào được đúc tại đó. Mức độ tiếp xúc bị ảnh hưởng thuộc một sản phẩm bên thứ ba riêng sử dụng AUSD trên Ethereum mà Agora không vận hành. Trong bản cập nhật ngày 24/10, Initia quy vụ khai thác cho lỗi script-caching của MoveVM khiến các kiểm tra bảo mật bị vượt qua. Initia cho biết kẻ tấn công tạo số dư không được bảo chứng của WETH, iUSD và USDC trong khi tổng nguồn cung tương ứng không đổi. Không có INIT gốc nào được đúc. Lúc 08:46 UTC ngày 24/10, Initia cho biết L1 và các rollup của dự án vẫn dừng. Dự án kỳ vọng hoàn tất và kiểm toán bản vá trong vài ngày. Các nỗ lực thu hồi tài sản vẫn tiếp diễn. Initia không đưa ra ngày khởi động lại chắc chắn hay điều khoản bồi hoàn, khiến việc khôi phục phần bảo chứng cầu nối còn thiếu vẫn chưa được giải quyết.