Bitquery a constaté qu'un attaquant avait vidé les réserves garantissant les jetons USDC sur Initia lors de l'exploitation du 23 octobre, entraînant l'échec des tentatives de retrait. La blockchain Noble détenait les réserves USDC garantissant les jetons représentés sur Initia. Bitquery a enregistré une baisse passant d'environ 1 million de dollars avant les retraits à un minimum intrajournalier de 63 dollars à 15:37 UTC le 23 octobre. Bitquery a relevé environ 24 000 dollars dans les réserves lors d'un contrôle ultérieur à 18:52 UTC ce jour-là.
Bitquery a compté 55 tentatives de retrait USDC ordinaires échouées avant l'arrêt. Bitquery a constaté que la plupart des tentatives provenaient d'un bot soumettant répétitivement le même solde. Les demandes de retrait plus importantes de l'attaquant ont également échoué lorsque les réserves sont devenues insuffisantes. Initia a indiqué que le projet L1 et ses rollups ont été arrêtés à 15:41:30 UTC le 23 octobre.
Le cofondateur ItsAlwaysZonny a initialement estimé qu'environ 3 millions de dollars avaient été transférés via des ponts avant la suspension. Bitquery a estimé que les réserves des ponts avaient versé environ 3 millions de dollars en actifs réels. Bitquery a distingué ce versement des environ 7 millions de dollars de valeur nominale des soldes non autorisés.
Bitquery a décrit les jetons légitimes représentés sur Initia comme des créances garanties par des actifs détenus sur d'autres blockchains. Bitquery a expliqué que le retrait de ces jetons nécessite que la réserve correspondante libère les actifs de garantie. Bitquery a indiqué que les soldes non autorisés ont permis à l'attaquant de revendiquer des actifs de réserve sans effectuer de dépôts équivalents au préalable. Circle distingue les jetons pontés par des tiers garantis par des USDC verrouillés sur une autre blockchain des USDC natifs émis et rachetés par Circle en échange de dollars. Une réserve de pont épuisée peut donc empêcher les retraits sans remettre en cause la couverture en dollars globale de Circle en tant qu'émetteur.
Agora, un émetteur distinct, a été impliqué via une exposition liée à l’AUSD. Agora a déclaré que le contrat AUSD d’Agora n’avait pas été déployé sur Initia et qu’aucun AUSD n’avait été émis sur cette plateforme. L’exposition concernée concernait un produit tiers distinct utilisant l’AUSD sur Ethereum, que Agora ne gérait pas.
Initia a attribué l'exploitation dans une mise à jour du 24 octobre à un bogue de mise en cache de script MoveVM qui permettait de contourner les contrôles de sécurité. Initia a indiqué que l'attaquant a généré des soldes non garantis de WETH, iUSD et USDC tout en laissant les offres totales correspondantes inchangées. Initia a précisé qu'aucun INIT natif n'avait été émis. À 08:46 UTC le 24 octobre, Initia a déclaré que le L1 et les rollups du projet étaient toujours arrêtés. Initia prévoyait la finalisation et l'audit d'une correction dans les jours à venir. Les efforts de récupération des actifs se poursuivaient. Initia n'a fourni aucune date de redémarrage ni termes de remboursement précis, laissant la restauration de la garantie manquante du pont en suspens.