Hack da Initia derruba reserva da ponte USDC para US$ 63

A Bitquery identificou que um atacante esgotou as reservas que lastreavam tokens USDC na Initia durante o exploit de 23 de outubro, fazendo com que tentativas de saque falhassem. A blockchain Noble detinha a reserva de USDC que lastreava os tokens representados na Initia. A Bitquery mediu uma queda de cerca de US$ 1 milhão antes dos saques para uma mínima intradiária de US$ 63 às 15h37 UTC de 23 de outubro. Em verificação posterior, às 18h52 UTC daquele dia, a Bitquery registrou cerca de US$ 24 mil na reserva. A Bitquery contabilizou 55 tentativas comuns de saque de USDC malsucedidas antes da paralisação. A maioria partiu de um bot que repetia o envio do mesmo saldo. Pedidos maiores de saque feitos pelo atacante também falharam quando a reserva se tornou insuficiente. A Initia informou que a L1 e os rollups do projeto pararam às 15h41min30s UTC de 23 de outubro. O cofundador ItsAlwaysZonny estimou inicialmente que cerca de US$ 3 milhões haviam saído por pontes antes da pausa. A Bitquery estimou que as reservas da ponte pagaram cerca de US$ 3 milhões em ativos reais. A Bitquery diferenciou esse pagamento do valor nominal de aproximadamente US$ 7 milhões dos saldos não autorizados. A Bitquery descreveu tokens legítimos representados na Initia como direitos lastreados por ativos mantidos em outras blockchains. Sacar esses tokens exige que a reserva correspondente libere os ativos de lastro. A Bitquery afirmou que saldos não autorizados permitiram ao atacante reivindicar ativos da reserva sem primeiro fazer depósitos equivalentes. A Circle diferencia tokens de pontes de terceiros, lastreados em USDC bloqueado em outra blockchain, do USDC nativo que a Circle emite e resgata por dólares. Uma reserva de ponte esgotada pode, assim, impedir saques sem estabelecer qualquer falha no lastro em dólares da Circle como emissora. A Agora, emissora separada, foi envolvida por exposição relacionada ao AUSD. A Agora afirmou que seu contrato de AUSD não foi implantado na Initia e que nenhum AUSD foi cunhado lá. A exposição afetada envolvia um produto separado de terceiros que usava AUSD na Ethereum e não era operado pela Agora. Em atualização de 24 de outubro, a Initia atribuiu o exploit a um bug de cache de scripts do MoveVM que permitia burlar verificações de segurança. A Initia disse que o atacante gerou saldos sem lastro de WETH, iUSD e USDC, deixando os suprimentos totais correspondentes inalterados. A Initia disse que nenhum INIT nativo foi cunhado. Às 08h46 UTC de 24 de outubro, a Initia disse que a L1 e os rollups do projeto continuavam paralisados. A Initia esperava concluir e auditar uma correção em alguns dias. Os esforços de recuperação de ativos continuavam. A Initia não forneceu data firme de reinício nem termos de reembolso, deixando sem solução a restauração do lastro ausente da ponte.