Bitquery виявив, що нападник вичерпав резерви, що забезпечували токени USDC на Initia під час експлуатації 23 жовтня, що призвело до невдалих спроб виведення коштів. Блокчейн Noble містив резерв USDC, що забезпечував токени, представлені на Initia. Bitquery зафіксував зниження з близько $1 мільйона до внутрішньоденного мінімуму у $63 о 15:37 UTC 23 жовтня. Bitquery зафіксував близько $24 000 у резерві під час наступної перевірки о 18:52 UTC того ж дня.
Bitquery зафіксував 55 невдалих спроб звичайного виведення USDC до зупинки. Bitquery виявив, що більшість спроб походили від одного бота, який повторно надсилав той самий баланс. Більші запити на виведення від атакуючого також не вдалося виконати, коли резерви стали недостатніми. Initia повідомила, що проект L1 та rollups зупинилися о 15:41:30 UTC 23 жовтня.
Співзасновник ItsAlwaysZonny спочатку оцінив, що через мости виведено близько 3 мільйонів доларів США до призупинення. Bitquery оцінив, що резерви мостів виплатили близько 3 мільйонів доларів США у реальних активах. Bitquery відрізнив цю виплату від приблизно 7 мільйонів доларів США номінальної вартості неавторизованих балансів.
Bitquery описав легітимні токени, представлені на Initia, як претензії, забезпечені активами, що зберігаються на інших блокчейнах. Bitquery пояснив, що виведення цих токенів вимагає відповідного резерву вивільнити забезпечуючі активи. Bitquery зазначив, що неавторизовані баланси дозволили атакуючому викупити активи резерву, не здійснюючи спочатку еквівалентних депозитів. Circle розрізняє токени, зв’язані з третіми сторонами, забезпечені USDC, який заблокований на іншому блокчейні, від нативного USDC, який Circle випускає та викуплює за долари. Тому вичерпання резерву мосту може перешкодити виведенню коштів, не встановлюючи жодної невдачі в загальному доларовому забезпеченні Circle.
Agora, окремий емітент, була залучена через експозицію, пов’язану з AUSD. Agora заявила, що контракт Agora AUSD не був розгорнутий на Initia і жоден AUSD не був випущений там. Постраждала експозиція стосувалася окремого продукту сторонньої організації, який використовував AUSD на ethereum, який Agora не керувала.
Initia пояснила в оновленні від 24 жовтня, що експлойт був спричинений багом у кешуванні скриптів MoveVM, який дозволив обійти перевірки безпеки. Initia зазначила, що нападник створив непідтримувані баланси WETH, iUSD та USDC, залишивши відповідні загальні обсяги незмінними. Initia підтвердила, що ніякі нативні INIT не були випущені. О 08:46 UTC 24 жовтня Initia повідомила, що L1 та ролапи проекту залишаються зупиненими. Initia очікувала завершення та аудиту виправлення протягом кількох днів. Зусилля щодо відновлення активів продовжувалися. Initia не назвала жодної точної дати відновлення роботи чи умов компенсації, залишивши відновлення відсутнього забезпечення моста невирішеним.