Initia è di nuovo online dopo più di nove giorni di fermo. In un annuncio su X pubblicato lunedì mattina presto, il progetto ha confermato che la sua blockchain layer-1 e i rollup stanno di nuovo elaborando le transazioni, dichiarando che "the Initia L1 and rollups are now online and operational". Il riavvio pone fine a un'interruzione avviata il 23 ottobre dopo che alcuni attaccanti hanno sfruttato una vulnerabilità nel MoveVM di Initia, consentendo loro di prelevare circa 2,7 milioni di dollari dal progetto. Per utenti e applicazioni costruite sulla rete, la ripresa ripristina le funzionalità di base dopo più di una settimana in cui né la chain layer-1 né i rollup collegati riuscivano a elaborare transazioni.

Ripristino graduale dei servizi

Initia non ha riattivato tutte le funzionalità in una sola volta. I trasferimenti tramite bridge cross-chain e piattaforme di trading sarebbero ripresi in un momento qualsiasi di lunedì 2 novembre, con i prelievi completati secondo calendari predefiniti. Secondo quanto riportato, gli asset LayerZero OFT (Omnichain Fungible Token), WETH (wrapped Ether) e AUSD0 hanno una finestra di elaborazione di 24 ore, mentre i prelievi di Noble USDC sono soggetti a limiti orari — controlli scaglionati che determinano la velocità di ritorno del normale flusso cross-chain.

Initia ha inoltre sottolineato di aver ripristinato la piena copertura per AUSD0, USDC.n e WETH. Il team ha continuato a condividere i dettagli del ripristino in aggiornamenti su X.

Il riavvio è seguito a un upgrade della chain che ha applicato una patch MoveVM verificata indipendentemente, la quale ha aggiunto misure di sicurezza supplementari e rimosso dalla rete i saldi contraffatti ancora collegati all'attaccante. Initia non ha effettuato un rollback della rete, quindi la cronologia on-chain esistente è stata preservata anziché riscritta, anche con l'eliminazione dei saldi contraffatti.

Una vulnerabilità "Day 0" del MoveVM ha permesso all'attaccante di coniare token

Initia è una rete layer-1 costruita sul Cosmos SDK che esegue la macchina virtuale Move e ospita rollup collegati. Move è stato originariamente sviluppato per il progetto Diem di Meta ed è utilizzato anche da reti come Aptos e Sui; Initia esegue la propria implementazione MoveVM sopra il Cosmos SDK — il componente che il cofondatore ha indicato come origine del bug. Il progetto ha interrotto la sua chain layer-1 e tutti i rollup collegati alle 15:41:30 UTC del 23 ottobre, a seguito di un allarme sollevato per primo dall'analista on-chain Spreek.

Il cofondatore Ezaan Mangalji ha attribuito la violazione a un bug fino ad allora sconosciuto, un "Day 0 bug related to Initia's MoveVM on CosmosSDK", che permetteva agli attaccanti di creare ulteriori token privi di copertura sull'L1. Le perdite derivano da queste coniazioni di token non coperti, con l'offerta del token nativo INIT rimasta invariata per tutta la vicenda.

L'attaccante ha coniato 2 milioni di token AUSD privi di copertura, poi ha utilizzato trasferimenti cross-chain per spostare circa 1,4 milioni di AUSD, 105 Ether e 1,08 milioni di USDC su Ethereum. Cryptopolitan riportò all'epoca che i fondi sottratti nell'hack ammontavano a circa 2,73 milioni di dollari.

La Initia Foundation ha coperto le perdite

La Initia Foundation ha approvato un finanziamento per compensare i fondi drenati dal bridge, in rapporto 1:1 con gli asset privi di copertura trasferiti fuori dalla chain — una mossa che ha posto il shortfall a carico della foundation anziché degli utenti detentori degli asset bridge interessati. Agora, l'emittente della stablecoin AUSD, ha contribuito a contenere le conseguenze congelando gli indirizzi collegati all'hacker, un esempio della capacità di congelamento che gli emittenti di stablecoin mantengono sui saldi on-chain.

L'exchange sudcoreano Upbit ha sospeso i depositi e i prelievi di INIT dopo l'incidente, mantenendo attivo il trading. INIT è calato di circa il 14% all'annuncio della notizia, per poi riprendersi. Al 29 ottobre, il token risulta in rialzo del 53,21% in 24 ore a 0,272354 dollari, dopo essere arrivato fino a 0,423 dollari e aver subito un ritracciamento. INIT veniva scambiato intorno a 0,1585 dollari, in calo di oltre l'11% nelle ultime 24 ore al momento della stesura. Da qui in avanti, gli elementi da monitorare includono se le finestre di prelievo di 24 ore e i limiti orari di Noble USDC si azzereranno nei tempi previsti, e se Upbit ripristinerà i depositi e i prelievi di INIT.

Fonte: Cryptopolitan