Bitquery обнаружил, что злоумышленник опустошил резервы, обеспечивавшие токены USDC на Initia, во время эксплуатации 23 октября, что привело к сбоям при попытках вывода. Резерв USDC, обеспечивавший токены, представленные на Initia, находился на блокчейне Noble. Bitquery зафиксировал снижение с примерно $1 млн до внутридневного минимума в $63 в 15:37 UTC 23 октября. Bitquery зафиксировал примерно $24 000 в резерве при последующей проверке в 18:52 UTC того же дня.
Bitquery зафиксировал 55 неудачных попыток обычного вывода USDC до остановки. Bitquery обнаружил, что большинство попыток исходили от одного бота, многократно отправлявшего один и тот же баланс. Более крупные запросы на вывод от злоумышленника также не удавались, когда резервы стали недостаточными. Initia сообщила, что проект L1 и rollups остановились 23 октября в 15:41:30 UTC.
Сооснователь ItsAlwaysZonny первоначально оценил, что через мосты ушло примерно 3 миллиона долларов до приостановки. Bitquery оценил, что резервы моста выплатили около 3 миллионов долларов в реальных активах. Bitquery отделила эту выплату от примерно 7 миллионов долларов номинальной стоимости неавторизованных балансов.
Bitquery описал легитимные токены, представленные на Initia, как требования, обеспеченные активами, хранящимися на других блокчейнах. Bitquery объяснил, что вывод этих токенов требует освобождения соответствующих резервных активов. Bitquery отметил, что неавторизованные остатки позволили злоумышленнику заявить права на резервные активы без предварительного внесения эквивалентных депозитов. Circle различает токены, переведенные третьими сторонами и обеспеченные USDC, заблокированными на другом блокчейне, и нативный USDC, который Circle выпускает и выкупает за доллары. Таким образом, истощенный резерв моста может препятствовать выводу средств, не свидетельствуя о неудаче в обеспечении долларами в целом по эмитенту Circle.
Agora, отдельный эмитент, была вовлечена через экспозицию, связанную с AUSD. Agora заявила, что контракт Agora AUSD не был развернут на Initia и там не было выпущено ни одного AUSD. Затронутая экспозиция касалась отдельного стороннего продукта, использующего AUSD на ethereum, которым Agora не управляет.
Initia связала атаку с багом кэширования скриптов MoveVM, который позволял обходить проверки безопасности, в обновлении от 24 октября. Initia сообщила, что злоумышленник сгенерировал неподкреплённые балансы WETH, iUSD и USDC, оставив при этом общие объёмы неизменными. Initia заявила, что нативные INIT не были напечатаны. В 08:46 UTC 24 октября Initia сообщила, что L1 и рулапы проекта всё ещё приостановлены. Initia ожидает завершения и аудита исправления в течение нескольких дней. Работы по восстановлению активов продолжаются. Initia не предоставила точной даты возобновления работы или условий компенсации, оставив вопрос восстановления отсутствующего обеспечения моста нерешённым.