Bitquery descubrió que un atacante agotó las reservas que respaldaban los tokens USDC en Initia durante el ataque del 23 de octubre, lo que provocó el fracaso de los intentos de retiro. La cadena de bloques Noble mantenía la reserva de USDC que respaldaba los tokens representados en Initia. Bitquery registró una caída desde aproximadamente $1 millón antes de los retiros hasta un mínimo intradía de $63 a las 15:37 UTC del 23 de octubre. Bitquery registró aproximadamente $24,000 en la reserva durante una verificación posterior a las 18:52 UTC ese mismo día.
Bitquery contó 55 intentos fallidos de retiro ordinario de USDC antes de la interrupción. Bitquery descubrió que la mayoría de los intentos provenían de un bot que enviaba repetidamente el mismo saldo. Los intentos de retiro más grandes del atacante también fallaron cuando las reservas se volvieron insuficientes. Initia indicó que el proyecto L1 y los rollups se detuvieron a las 15:41:30 UTC del 23 de octubre.
El cofundador ItsAlwaysZonny estimó inicialmente que aproximadamente $3 millones habían salido a través de puentes antes de la pausa. Bitquery estimó que las reservas del puente pagaron aproximadamente $3 millones en activos reales. Bitquery distinguió este pago de los aproximadamente $7 millones de valor nominal de los saldos no autorizados.
Bitquery describió los tokens legítimos representados en Initia como reclamaciones respaldadas por activos mantenidos en otras cadenas de bloques. Bitquery explicó que retirar esos tokens requiere que la reserva correspondiente libere los activos de respaldo. Bitquery señaló que los saldos no autorizados permitieron al atacante reclamar activos de reserva sin realizar depósitos equivalentes previamente. Circle distingue los tokens puente de terceros respaldados por USDC bloqueado en otra cadena de bloques del USDC nativo que Circle emite y rescata por dólares. Por lo tanto, una reserva de puente agotada puede impedir retiros sin establecer ningún fallo en el respaldo en dólares de Circle a nivel emisor.
Agora, un emisor independiente, estuvo involucrado a través de la exposición relacionada con AUSD. Agora indicó que el contrato de AUSD de Agora no había sido implementado en Initia y que no se había acuñado ningún AUSD allí. La exposición afectada involucraba un producto de terceros independiente que utilizaba AUSD en Ethereum, que Agora no operaba.
Initia atribuyó la explotación en una actualización del 24 de octubre a un error de almacenamiento en caché de scripts de MoveVM que permitió eludir las comprobaciones de seguridad. Initia indicó que el atacante generó saldos no respaldados de WETH, iUSD y USDC, sin modificar los suministros totales correspondientes. Initia afirmó que no se acuñó ningún INIT nativo. A las 08:46 UTC del 24 de octubre, Initia señaló que el L1 y los rollups del proyecto seguían detenidos. Initia esperaba completar y auditar una solución en cuestión de días. Los esfuerzos de recuperación de activos continuaron. Initia no proporcionó una fecha de reinicio ni términos de reembolso firmes, dejando sin resolver la restauración del respaldo faltante del puente.