La réserve du pont USDC d’Initia tombe à 63 $ après l’exploitation

Bitquery a lié les tentatives échouées de retrait de USDC sur Initia à l’épuisement des réserves soutenant les soldes sur le réseau après une exploitation survenue le 23 octobre. L’enquête a révélé que la réserve de USDC détenue sur la blockchain Noble, qui soutient les représentations de la stablecoin sur Initia, est passée d’environ 1 million de dollars avant les retraits à un plus bas intrajournalier de 63 $ à 15h37 UTC le 23 octobre.

Bitquery a rapporté que la réserve contenait environ 24 000 $ lors d’une vérification ultérieure à 18h52 UTC ce même jour. La société a comptabilisé 55 tentatives ordinaires de retrait de USDC échouées avant l’arrêt du réseau. La plupart de ces tentatives échouées provenaient d’un seul bot soumettant répétitivement le même solde. Les demandes de retrait plus importantes de l’attaquant ont également échoué à mesure que la réserve s’épuisait.

Arrêt du réseau et estimations des actifs

Initia a déclaré que sa couche 1 et ses rollups s’étaient arrêtés à 15h41:30 UTC le 23 octobre. Le co-fondateur @ItsAlwaysZonny a initialement estimé qu’environ 3 millions de dollars avaient été transférés via le pont avant la pause. L’estimation de Bitquery concordait avec ce chiffre, identifiant environ 3 millions de dollars d’actifs réels payés depuis les réserves du pont. La société a distingué ce montant de la valeur nominale d’environ 7 millions de dollars qu’elle a attribuée aux soldes non autorisés créés lors de l’exploitation.

Le mécanisme décrit par Bitquery indique que les jetons légitimes représentés sur Initia sont soutenus par des actifs détenus ailleurs. Le retour de ces représentations nécessite que la réserve pertinente libère des actifs. L’exploitation a permis à l’attaquant de réclamer des réserves sans d’abord déposer de soutien correspondant, vidant ainsi la liquidité nécessaire aux retraits standard.

Cause technique et distinctions entre émetteurs

Dans une mise à jour du 24 octobre, Initia a attribué l’exploitation à un bug de mise en cache de script MoveVM qui a contourné les vérifications de sécurité. Le projet a déclaré que l’attaquant a créé des soldes de WETH, iUSD et USDC non soutenus sans modifier leurs offres totales correspondantes. Aucun jeton INIT natif n’a été émis pendant l’incident, selon le projet.

Circle a distingué les jetons de tiers soutenus par des USDC verrouillés sur une autre blockchain des USDC natifs émis par Circle et remboursables en dollars. L’épuisement de la réserve pour un pont particulier peut entraver les sorties sans démontrer un échec du soutien en dollars à l’échelle de l’émetteur par Circle. L’exposition liée à AUSD impliquait un autre émetteur, Agora. Le compte @withAUSD a déclaré que son contrat AUSD n’était pas déployé sur Initia et qu’aucun AUSD n’y avait été émis. L’exposition touchée était un produit tiers distinct utilisant AUSD sur Ethereum que Agora n’exploitait pas.

À 08h46 UTC le 24 octobre, Initia a déclaré que sa L1 et ses rollups restaient arrêtés. Le projet s’attendait à ce qu’une correction soit terminée et auditée dans les jours suivant la mise à jour. La récupération des actifs était en cours à ce moment-là. La mise à jour n’apportait ni date de redémarrage ferme ni conditions de remboursement, laissant la restauration du soutien manquant du pont non résolue.