Bitquery phát hiện rằng một kẻ tấn công đã cạn kiệt nguồn dự trữ hỗ trợ các token USDC trên Initia trong vụ khai thác ngày 23 tháng 10, khiến các nỗ lực rút tiền thất bại. Blockchain Noble giữ nguồn dự trữ USDC hỗ trợ các token được đại diện trên Initia. Bitquery ghi nhận sự sụt giảm từ khoảng 1 triệu USD trước khi rút tiền xuống mức thấp nhất trong ngày là 63 USD lúc 15:37 UTC ngày 23 tháng 10. Bitquery ghi nhận khoảng 24.000 USD trong nguồn dự trữ khi kiểm tra lại lúc 18:52 UTC cùng ngày.
Bitquery đã đếm được 55 lần cố gắng rút USDC thông thường thất bại trước khi bị dừng. Bitquery phát hiện rằng phần lớn các nỗ lực này đến từ một bot liên tục gửi cùng một số dư. Các yêu cầu rút tiền lớn hơn của kẻ tấn công cũng thất bại khi dự trữ trở nên không đủ. Initia cho biết mạng L1 và các rollup của dự án đã dừng vào lúc 15:41:30 UTC ngày 23 tháng 10.
Đồng sáng lập ItsAlwaysZonny ban đầu ước tính khoảng 3 triệu USD đã được chuyển ra qua các cầu trước khi bị tạm dừng. Bitquery ước tính rằng nguồn dự trữ cầu đã chi trả khoảng 3 triệu USD dưới dạng tài sản thực. Bitquery phân biệt khoản chi trả này với giá trị danh nghĩa khoảng 7 triệu USD của các số dư không được ủy quyền.
Bitquery mô tả các token hợp pháp được đại diện trên Initia là các quyền đòi hỏi được đảm bảo bởi tài sản được giữ trên các blockchain khác. Bitquery giải thích rằng việc rút các token đó yêu cầu quỹ dự trữ liên quan phải giải phóng các tài sản đảm bảo. Bitquery cho biết số dư không được ủy quyền đã cho phép kẻ tấn công yêu cầu tài sản dự trữ mà không cần nạp vào số lượng tương đương trước đó. Circle phân biệt các token được cầu nối từ bên thứ ba, được đảm bảo bởi USDC bị khóa trên blockchain khác, với USDC bản địa mà Circle phát hành và gọi lại để đổi lấy đô la. Do đó, quỹ cầu nối cạn kiệt có thể ngăn việc rút tiền mà không làm suy giảm bất kỳ sự đảm bảo đô la nào của Circle trên toàn bộ hệ thống.
Agora, một chủ thể phát hành độc lập, đã tham gia thông qua rủi ro liên quan đến AUSD. Agora cho biết hợp đồng AUSD của Agora chưa được triển khai trên Initia và không có AUSD nào được đúc tại đây. Rủi ro bị ảnh hưởng liên quan đến một sản phẩm bên thứ ba khác sử dụng AUSD trên ethereum mà Agora không vận hành.
Initia cho biết vụ khai thác được ghi nhận trong bản cập nhật ngày 24 tháng 10 là do lỗi bộ nhớ đệm script MoveVM cho phép bỏ qua các kiểm tra bảo mật. Initia cho biết kẻ tấn công đã tạo ra các số dư không được đảm bảo của WETH, iUSD và USDC, trong khi tổng cung tương ứng vẫn không thay đổi. Initia khẳng định không có INIT bản địa nào được đúc mới. Vào lúc 08:46 UTC ngày 24 tháng 10, Initia cho biết cả L1 và rollups của dự án vẫn đang bị tạm dừng. Initia kỳ vọng sẽ hoàn thành và kiểm toán bản vá trong vòng vài ngày. Các nỗ lực khôi phục tài sản vẫn đang tiếp tục. Initia không cung cấp ngày khởi động lại chính thức hay điều khoản bồi thường, khiến việc khôi phục sự đảm bảo cầu nối bị thiếu vẫn chưa được giải quyết.