Initia jest ponownie online po ponad dziewięciu dniach przerwy. we wczesnym poniedziałkowym komunikacie na X projekt potwierdził, że jego blockchain pierwszej warstwy i rollupy ponownie przetwarzają transakcje, oświadczając, że „Initia L1 i rollupy są teraz online i w pełni operacyjne”. Przywrócenie sieci kończy przerwę rozpoczętą 23 października, gdy atakujący wykorzystali lukę w MoveVM projektu, co pozwoliło im wypłacić około 2,7 miliona dolarów z projektu. Dla użytkowników i aplikacji zbudowanych na sieci wznowienie działalności przywraca podstawową funkcjonalność po ponad tygodniu, w którym ani łańcuch pierwszej warstwy, ani żaden z połączonych rollupów nie mógł przetwarzać transakcji.

Etapowe przywracanie usług

Initia nie włączyła ponownie wszystkich funkcji naraz. Transfery przez mostek międzyłańcuchowy oraz platformy handlowe miały zostać wznowione w pewnym momencie w poniedziałek 2 listopada, a wypłaty miały być realizowane zgodnie z wcześniej ustalonym harmonogramem. Zgłoszenia wskazują, że aktywa LayerZero OFT (Omnichain Fungible Token), WETH (wrapped Ether) i AUSD0 mają 24-godzinne okno przetwarzania, natomiast wypłaty Noble USDC podlegają limitom godzinowym — etapowane mechanizmy kontrolne, które decydują o tempie powrotu normalnego przepustowości międzyłańcuchowej.

Initia poinformowała również, że przywróciła pełne pokrycie dla AUSD0, USDC.n i WETH. Zespół dalej dzielił się szczegółami odzyskiwania w aktualizacjach na X.

Przywrócenie sieci nastąpiło po aktualizacji łańcucha, która wprowadziła niezależnie audytowaną poprawkę MoveVM, dodającą dodatkowe zabezpieczenia i odłączającą od sieci sfałszowane salda nadal powiązane z atakującym. Initia nie cofnęła sieci, więc istniejąca historia łańcucha została zachowana, a nie przepisana, mimo odcięcia sfałszowanych sald.

Luka „Day 0” w MoveVM pozwoliła atakującemu bić tokeny

Initia to sieć pierwszej warstwy zbudowana na Cosmos SDK, która uruchamia maszynę wirtualną Move i hostuje połączone rollupy. Move został pierwotnie opracowany dla projektu Meta Diem i jest używany również przez sieci takie jak Aptos i Sui, a Initia uruchamia własną implementację MoveVM na Cosmos SDK — to właśnie ten komponent współzałożyciel wskazał jako źródło błędu. Projekt zatrzymał swój łańcuch pierwszej warstwy i wszystkie połączone rollupy 23 października o 15:41:30 UTC, po alercie, który jako pierwszy zgłosił analityk on-chain Spreek.

Współzałożyciel Ezaan Mangalji obarczył winą za naruszenie wcześniej nieznany „błąd Day 0 związany z MoveVM Initii na CosmosSDK”, który pozwolił atakującym tworzyć dodatkowe, niepokryte tokeny na L1. Straty wynikały z emisji tych niepokrytych tokenów, przy czym podaż natywnego tokena INIT pozostawała przez cały czas niezmieniona.

Atakujący wybił 2 miliony niepokrytych tokenów AUSD, a następnie wykorzystał transfery międzyłańcuchowe, aby przesłać około 1,4 miliona AUSD, 105 Etherów i 1,08 miliona USDC do Ethereum. Cryptopolitan wówczas informował, że skradzione w ataku środki wyniosły około 2,73 miliona dolarów.

Fundacja Initia pokryła straty

Fundacja Initia zatwierdziła finansowanie, które pokryje braki środków wypłaconych z mostka w stosunku 1:1 do niepokrytych aktywów przeniesionych z łańcucha — krok, który przerzucił ciężar niedoboru na fundację, a nie na użytkowników posiadających dotknięte aktywa mostka. Agora, emitent stablecoina AUSD, pomógł ograniczyć skutki zdarzenia, zamrażając adresy powiązane z hakerem — przykład możliwości zamrażania sald on-chain, które zachowują emitenci stablecoinów.

Południowokoreańska giełda Upbit zawiesiła wpłaty i wypłaty INIT po zdarzeniu, utrzymując handel. INIT spadł o około 14% po pojawieniu się wiadomości, po czym odbił. Do 29 października token miał, jak podano, wzrost o 53,21% w ciągu 24 godzin, na poziomie 0,272354 USD, po wcześniejszym skoku do 0,423 USD i korekcie. INIT był notowany w okolicach 0,1585 USD, spadając o ponad 11% w ciągu ostatnich 24 godzin na moment sporządzenia tego raportu. Kolejne kwestie do obserwowania to to, czy 24-godzinne okna wypłat i godzinowe limity Noble USDC zakończą się zgodnie z harmonogramem, oraz czy Upbit wznowi wpłaty i wypłaty INIT.

Źródło: Cryptopolitan