Разработчики L1-блокчейна Initia приостановили работу основной сети и связанных с ней роллапов после атаки. По предварительной оценке сооснователя проекта Эзаана Мангальджи, злоумышленник успел вывести криптоактивы примерно на $2,7 млн.
По его словам, взлом стал возможным из-за ранее неизвестной ошибки в коде, которым Initia связала виртуальную машину для смарт-контрактов на языке MoveVM со своей сетью на базе Cosmos SDK. Ошибка позволила хакеру выпускать необеспеченные токены.
Специалисты DeFi-платформы D2 Finance установили, что атакующий выпустил в Initia около 2 млн токенов AUSD без обеспечения. Затем через кроссчейн-мосты он вывел в Ethereum около 1,4 млн AUSD, 105 ETH и 1,08 млн USDC. После обмена все средства оказались на одном адресе, где скопилось примерно 1135,5 ETH стоимостью $2,73 млн.
Аналитическая компания Bitquery объяснила, откуда у хакера взялись реальные деньги. Когда пользователь переводит, например, USDC из Ethereum в Initia, мост блокирует настоящие монеты в своем резерве и выдает взамен их копию.
При обратном переводе копия уничтожается, а резерв возвращает настоящие USDC. Злоумышленник создал копии USDC, AUSD и ETH, ничего не заблокировав, отправил их обратно через мосты и получил из резервов настоящие активы примерно на $2,73 млн.
Всего хакер создал токенов на $7,48 млн по номиналу. Однако большую часть из них вывести не удалось. В том числе это касается $3 млн во внутреннем стейблкоине Initia — iUSD, который существует только в этой сети и не обменивается через мосты.
Стоящая за AUSD компания Agora заявила, что атака не затронула ее актив. Agora не выпускала AUSD в сети Initia: там обращалась только его копия, созданная мостом. Именно ее и подделал хакер. Сам AUSD по-прежнему полностью обеспечен.
На фоне сообщений об атаке курс INIT кратковременно снизился примерно на 14% — до $0,115, но затем частично отыграл падение. За последние 24 часа цена монеты выросла на 10%.
Южнокорейские криптобиржи Upbit и Bithumb временно приостановили ввод и вывод INIT.
Разработчики не объявили сроки перезапуска сети и не опубликовали технический отчет. Также неизвестно, какой ущерб понесли пользователи и удастся ли вернуть выведенные активы.
Напомним, 18 октября Qubic остановила блокчейн после взлома 1404 пользовательских кошельков. Злоумышленник похитил около 2,94 трлн QU стоимостью $1,3 млн, воспользовавшись уязвимостью в механизме генерации сид-фраз. Позднее сеть возобновила работу.
