Хакер вывел $2,7 млн из блокчейна Initia через уязвимость в MoveVM
Разработчики L1-блокчейна Initia приостановили основную сеть и связанные роллапы после атаки. По оценке сооснователя проекта Эзаана Мангальджи, злоумышленник вывел активы примерно на $2,7 млн.
По словам Мангальджи, взлом стал возможен из-за ранее неизвестной ошибки в коде, связывающем виртуальную машину MoveVM с сетью Initia на базе Cosmos SDK. Уязвимость позволила хакеру выпускать необеспеченные токены. Сооснователь уточнил, что ошибка не затрагивает нативные токены INIT.
Специалисты DeFi-платформы D2 Finance установили, что атакующий выпустил в Initia около 2 млн токенов AUSD без обеспечения. Затем через кроссчейн-мосты он вывел в Ethereum около 1,4 млн AUSD, 105 ETH и 1,08 млн USDC. После обмена все средства оказались на одном адресе, где скопилось примерно 1135,5 ETH стоимостью $2,73 млн.
Аналитическая компания Bitquery объяснила механизм атаки. При переводе USDC из Ethereum в Initia мост блокирует настоящие монеты в резерве и выдает их копию. При обратном переводе копия уничтожается, а резерв возвращает оригинальные USDC. Злоумышленник создал копии USDC, AUSD и ETH, ничего не заблокировав, отправил их обратно через мосты и получил из резервов реальные активы примерно на $2,73 млн.
Всего хакер создал токенов на $7,48 млн по номиналу, но большую часть вывести не удалось. В том числе это касается $3 млн во внутреннем стейблкоине Initia — iUSD, который существует только в этой сети и не обменивается через мосты.
Компания Agora, стоящая за AUSD, заявила, что атака не затронула ее актив. Agora не выпускала AUSD в сети Initia: там обращалась только его копия, созданная мостом, которую и подделал хакер. Сам AUSD по-прежнему полностью обеспечен.
На фоне сообщений об атаке курс INIT кратковременно снизился примерно на 14% — до $0,115, но затем частично отыграл падение. За последние 24 часа цена монеты выросла на 10%. Южнокорейские криптобиржи Upbit и Bithumb временно приостановили ввод и вывод INIT.
Разработчики не объявили сроки перезапуска сети и не опубликовали технический отчет. Также неизвестно, какой ущерб понесли пользователи и удастся ли вернуть выведенные активы.