Initia снова в сети после более чем девяти дней простоя. В объявлении в X в понедельник утром проект подтвердил, что его блокчейн первого уровня и роллапы вновь обрабатывают транзакции, сообщив, что «Initia L1 и роллапы сейчас в сети и работают». Перезапуск положил конец остановке, начатой 23 октября после того, как злоумышленники использовали уязвимость в MoveVM проекта, что позволило им вывести около $2,7 млн из проекта. Для пользователей и приложений, построенных на сети, возобновление работы восстанавливает базовую функциональность после более чем недели, в течение которой ни цепочка первого уровня, ни один из подключенных роллапов не могли обрабатывать транзакции.

Поэтапное восстановление сервисов

Initia не включила всю функциональность сразу. Переводы через кроссчейн-мост и с торговых платформ должны были возобновиться в какой-то момент в понедельник, 2 ноября, при этом вывод средств выполняется согласно заранее установленным графикам. По имеющимся данным, активы LayerZero OFT (Omnichain Fungible Token), WETH (wrapped Ether) и AUSD0 имеют 24-часовое окно обработки, а вывод Noble USDC подвержен почасовым лимитам — поэтапные ограничения, определяющие, насколько быстро восстановится обычная кроссчейн-пропускная способность.

Initia также сообщила, что полностью восстановила обеспечение для AUSD0, USDC.n и WETH. Команда продолжает публиковать детали восстановления в обновлениях в X.

Перезапуск последовал за обновлением цепочки, в рамках которого был применен независимо проверенный патч MoveVM, добавивший дополнительные меры безопасности и отключивший от сети поддельные балансы, всё еще связанные с злоумышленником. Initia не откатывала сеть, поэтому существующая история цепочки была сохранена, а не переписана, даже при отсечении поддельных балансов.

Уязвимость «Day 0» в MoveVM позволила злоумышленнику выпускать токены

Initia — это сеть первого уровня, построенная на Cosmos SDK, которая запускает виртуальную машину Move и размещает подключенные роллапы. Move изначально была разработана для проекта Diem компании Meta и также используется такими сетями, как Aptos и Sui, а Initia запускает собственную реализацию MoveVM поверх Cosmos SDK — именно этот компонент сооснователь назвал источником ошибки. Проект остановил свою цепочку первого уровня и все подключенные роллапы в 15:41:30 UTC 23 октября после предупреждения, впервые поданного ончейн-аналитиком Spreek.

Сооснователь Эзан Мангалджи объяснил взлом ранее неизвестной «ошибкой Day 0, связанной с MoveVM Initia на CosmosSDK», которая позволила злоумышленникам создавать дополнительные необеспеченные токены на L1. Убытки возникли из-за выпуска этих необеспеченных токенов, при этом предложение нативного токена INIT оставалось неизменным на протяжении всего инцидента.

Злоумышленник выпустил 2 млн необеспеченных токенов AUSD, а затем с помощью кроссчейн-переводов вывел примерно 1,4 млн AUSD, 105 Ether и 1,08 млн USDC в Ethereum. Cryptopolitan сообщала тогда, что сумма украденных в результате взлома средств составила около $2,73 млн.

Initia Foundation покрыла убытки

Initia Foundation одобрила финансирование для покрытия разницы по средствам, выведенным с моста, в соотношении 1:1 к необеспеченным активам, выведенным из цепочки — шаг, возложивший дефицит на фонд, а не на пользователей, владеющих затронутыми активами моста. Agora, эмитент стейблкоина AUSD, помогла сдержать последствия, заморозив адреса, связанные с хакером, — пример способности эмитентов стейблкоинов замораживать ончейн-балансы.

Южнокорейская биржа Upbit приостановила депозиты и выводы INIT после инцидента, сохранив торги открытыми. INIT упал примерно на 14% после появления новости, но затем восстановился. К 29 октября токен, по сообщениям, вырос на 53,21% за 24 часа до $0,272354 после скачка до $0,423 и последующего отката. INIT торговался около $0,1585, снизившись более чем на 11% за последние 24 часа на момент подготовки материала. Дальше стоит следить за тем, будут ли 24-часовые окна вывода и почасовые лимиты Noble USDC соблюдены по графику и возобновит ли Upbit депозиты и выводы INIT.

Источник: Cryptopolitan