O Bitquery descobriu que um atacante esgotou as reservas que respaldavam os tokens USDC na Initia durante a exploração de 23 de outubro, causando falhas nas tentativas de retirada. A blockchain Noble detinha a reserva de USDC que respaldava os tokens representados na Initia. O Bitquery registrou uma queda de cerca de US$ 1 milhão antes das retiradas para um mínimo intradiário de US$ 63 às 15:37 UTC em 23 de outubro. O Bitquery registrou aproximadamente US$ 24.000 na reserva durante uma verificação subsequente às 18:52 UTC naquele dia.
O Bitquery contou 55 tentativas falhas de retirada normal de USDC antes da interrupção. O Bitquery descobriu que a maioria das tentativas veio de um bot que enviava repetidamente o mesmo saldo. As solicitações maiores de retirada do atacante também falharam quando a reserva se tornou insuficiente. A Initia disse que o projeto L1 e os rollups pararam em 15:41:30 UTC em 23 de outubro.
O co-fundador ItsAlwaysZonny inicialmente estimou que cerca de US$ 3 milhões haviam saído por meio de pontes antes da pausa. O Bitquery estimou que as reservas da ponte pagaram cerca de US$ 3 milhões em ativos reais. O Bitquery distinguiu esse pagamento dos aproximadamente US$ 7 milhões de valor nominal dos saldos não autorizados.
Bitquery descreveu tokens legítimos representados na Initia como créditos respaldados por ativos mantidos em outras blockchains. A Bitquery explicou que retirar esses tokens exige que a reserva relevante libere os ativos de respaldo. A Bitquery afirmou que saldos não autorizados permitiram ao atacante reivindicar ativos da reserva sem primeiro fazer depósitos equivalentes. A Circle distingue tokens ponte de terceiros respaldados por USDC bloqueado em outra blockchain do USDC nativo emitido e resgatado pela Circle por dólares. Uma reserva de ponte esgotada, portanto, pode impedir retiradas sem indicar qualquer falha no respaldo em dólares da Circle.
Agora, como emitente separado, esteve envolvida por meio da exposição relacionada ao AUSD. A Agora afirmou que o contrato AUSD da Agora não havia sido implantado na Initia e que nenhum AUSD havia sido cunhado lá. A exposição afetada envolveu um produto de terceiro separado que utilizava AUSD no ethereum, que a Agora não operava.
A Initia atribuiu a exploração em uma atualização de 24 de outubro a um bug de armazenamento em cache do script MoveVM que permitiu a contornagem das verificações de segurança. A Initia afirmou que o atacante gerou saldos não garantidos de WETH, iUSD e USDC, mantendo os totais correspondentes de oferta inalterados. A Initia disse que nenhuma INIT nativa foi emitida. Em 08:46 UTC em 24 de outubro, a Initia informou que o L1 e os rollups do projeto ainda estavam interrompidos. A Initia esperava a conclusão e auditoria de uma correção dentro de alguns dias. Os esforços de recuperação de ativos continuaram. A Initia não forneceu uma data de reinício definitiva nem termos de reembolso, deixando a restauração da cobertura da ponte não resolvida.