Initia ist nach mehr als neun Tagen offline wieder online. In einer Ankündigung auf X am frühen Montag bestätigte das Projekt, dass seine Layer-1-Blockchain und Rollups erneut Transaktionen verarbeiten, mit den Worten, „das Initia L1 und die Rollups sind nun online und funktionsfähig.“ Der Neustart beendet eine am 23. Oktober veranlasste Ausfallzeit, nachdem Angreifer eine Schwachstelle in Initias MoveVM ausgenutzt hatten, wodurch sie rund 2,7 Millionen US-Dollar aus dem Projekt abziehen konnten. Für Nutzer und Anwendungen auf dem Netzwerk stellt die Wiederaufnahme die grundlegende Funktionalität nach mehr als einer Woche wieder her, in der weder die Layer-1-Chain noch eines der verbundenen Rollups Transaktionen verarbeiten konnte.

Schrittweise Wiederherstellung der Dienste

Initia aktivierte nicht alle Funktionen auf einmal. Cross-Chain-Bridge- und Trading-Plattform-Transfers sollten sometime am Montag, den 2. November, wieder aufgenommen werden, wobei Abhebungen gemäß vorgegebenen Zeitplänen abgeschlossen werden. Nach Berichten haben LayerZero OFT (Omnichain Fungible Token)-Assets, WETH (wrapped Ether) und AUSD0 ein 24-Stunden-Verarbeitungsfenster, während Noble-USDC-Abhebungen stundenweisen Limits unterliegen — gestaffelte Kontrollen, die bestimmen, wie schnell der normale Cross-Chain-Durchsatz zurückkehrt.

Initia hat zudem darauf hingewiesen, dass die vollständige Deckung für AUSD0, USDC.n und WETH wiederhergestellt wurde. Das Team hat weiterhin Wiederherstellungsdetails in Updates auf X geteilt.

Der Neustart folgte auf ein Chain-Upgrade, das einen unabhängig geprüften MoveVM-Patch anwendete, der zusätzliche Sicherheitsmaßnahmen hinzufügte und gefälschte Guthaben, die noch mit dem Angreifer verknüpft waren, vom Netzwerk abschnitt. Initia führte kein Rollback des Netzwerks durch, sodass die bestehende On-Chain-Historie erhalten blieb, anstatt neu geschrieben zu werden, selbst als die gefälschten Guthaben getrennt wurden.

Eine „Day 0“-MoveVM-Schwachstelle ermöglichte dem Angreifer das Minten von Token

Initia ist ein Layer-1-Netzwerk auf Basis des Cosmos SDK, das die virtuelle Maschine Move ausführt und verbundene Rollups hostet. Move wurde ursprünglich für Metas Diem-Projekt entwickelt und wird auch von Netzwerken wie Aptos und Sui verwendet; Initia betreibt seine eigene MoveVM-Implementierung auf dem Cosmos SDK — die Komponente, die der Mitgründer als Quelle des Fehlers identifizierte. Das Projekt stoppte seine Layer-1-Chain und alle verbundenen Rollups am 23. Oktober um 15:41:30 UTC, nachdem der On-Chain-Analyst Spreek erstmals Alarm geschlagen hatte.

Mitgründer Ezaan Mangalji führte den Verstoß auf einen zuvor unbekannten „Day 0 bug related to Initia’s MoveVM on CosmosSDK“ zurück, der es den Angreifern ermöglichte, zusätzliche, nicht gedeckte Token auf dem L1 zu erzeugen. Die Verluste resultierten aus diesen nicht gedeckten Token-Mints, wobei das Angebot des nativen INIT-Tokens während des gesamten Vorfalls unverändert blieb.

Der Angreifer mintte 2 Millionen nicht gedeckte AUSD-Token und übertrug dann per Cross-Chain-Transfers rund 1,4 Millionen AUSD, 105 Ether und 1,08 Millionen USDC zu Ethereum. Cryptopolitan berichtete damals, dass die durch den Hack gestohlenen Mittel insgesamt rund 2,73 Millionen US-Dollar betrugen.

Die Initia Foundation übernahm die Verluste

Die Initia Foundation genehmigte Mittel, um die Differenz der aus der Bridge abgezogenen Gelder auszugleichen, im Verhältnis 1:1 der von der Chain bewegten nicht gedeckten Assets — ein Schritt, der die Fehldeckung auf die Foundation und nicht auf Nutzer mit betroffenen Bridge-Assets verlagerte. Agora, der Herausgeber des AUSD-Stablecoins, trug zur Eindämmung der Folgen bei, indem er Adressen des Hackers einfroren hat — ein Beispiel für die Sperrfunktion, die Stablecoin-Herausgeber über On-Chain-Guthaben behalten.

Die südkoreanische Börse Upbit setzte nach dem Vorfall INIT-Einzahlungen und -Abhebungen aus, ließ den Handel jedoch offen. INIT fiel beim Bekanntwerden der Nachricht um etwa 14 %, erholte sich dann jedoch. Bis zum 29. Oktober lag das Token laut Berichten 53,21 % über 24 Stunden bei 0,272354 US-Dollar, nachdem es zwischenzeitlich auf bis zu 0,423 US-Dollar gestiegen und dann zurückgefallen war. INIT wurde bei etwa 0,1585 US-Dollar gehandelt, mehr als 11 % unter dem Stand vor 24 Stunden zum Zeitpunkt dieses Berichts. Künftig gilt es zu beobachten, ob die 24-Stunden-Abhebungsfenster und die stundenweisen Limits für Noble USDC planmäßig aufgehoben werden und ob Upbit INIT-Einzahlungen und -Abhebungen wieder aufnimmt.

Quelle: Cryptopolitan