Атака на Initia привела к выводу криптоактивов на $2,7 млн

Разработчики блокчейна Initia приостановили работу основной сети и связанных с ней роллапов после атаки. По предварительной оценке сооснователя проекта Эзаана Мангальджи, злоумышленник вывел криптоактивы примерно на $2,7 млн.

Атака стала возможной из-за ранее неизвестной ошибки в коде интеграции виртуальной машины MoveVM с сетью Initia на базе Cosmos SDK. Уязвимость позволила выпускать токены без блокировки соответствующих активов в резервах. Технический отчет о случившемся разработчики пока не опубликовали, сроки восстановления сети неизвестны.

Злоумышленник выпустил в Initia около 2 млн токенов AUSD без обеспечения. Затем через кроссчейн-мосты он перевел в Ethereum около 1,4 млн AUSD, 105 ETH и 1,08 млн USDC. После обмена активы оказались на одном адресе. На нем накопилось около 1135,5 ETH стоимостью примерно $2,73 млн.

Мосты обычно блокируют настоящие активы в одной сети и выпускают их копии в другой. При обратном переводе копия уничтожается, а пользователь получает актив из резерва. Хакер создал копии USDC, AUSD и ETH без внесения исходных активов, а затем обменял их через мосты на настоящие монеты.

Всего злоумышленник выпустил токены номинальной стоимостью около $7,48 млн. Вывести удалось лишь часть суммы. Около $3 млн в стейблкоине Initia iUSD нельзя было перевести через мосты, поскольку этот токен существует только внутри сети.

Компания Agora, выпускающая AUSD, заявила, что ее актив не пострадал. В Initia обращалась копия AUSD, созданная мостом, а не токены, выпущенные непосредственно Agora. По заявлению компании, оригинальный AUSD полностью обеспечен.

После сообщений об атаке курс INIT кратковременно снизился примерно на 14%, до $0,115, а затем частично восстановился. За предшествующие 24 часа токен подорожал примерно на 10%. Южнокорейские криптобиржи Upbit и Bithumb временно приостановили ввод и вывод INIT.

Разработчики Initia не сообщили, какой ущерб понесли пользователи и удастся ли вернуть выведенные активы. 18 октября блокчейн-проект Qubic также приостанавливал работу сети после взлома 1404 пользовательских кошельков. Тогда злоумышленник похитил около 2,94 трлн токенов QU стоимостью примерно $1,3 млн. Позднее сеть возобновила работу.