Initia остановила блокчейн из-за эксплойта на $2,6 миллиона

Initia экстренно остановила работу своего layer-1 блокчейна и всех подключённых роллапов после того, как исследователи безопасности обнаружили несанкционированный выпуск токенов и вывод криптоактивов на сумму более $2,6 миллиона. Сеть встала в разгар рабочего дня, и команда проекта до сих пор разбирается, что именно пошло не так.

Как остановили сеть Initia

Остановка произошла в 15:41 по UTC в пятницу, о чём команда сообщила в своём аккаунте в X. По их словам, после обнаружения инцидента они приостановили и основную сеть, и все роллапы (их в экосистеме называют Minitias), чтобы ограничить дальнейшее распространение ущерба. Параллельно к расследованию подключили сторонних исследователей безопасности, валидаторов сети и представителей бирж, чтобы оценить реальный масштаб потерь.

Первым о проблеме публично заявил блокчейн-исследователь под псевдонимом Spreek. Он написал, что злоумышленник сумел напечатать токены без какого-либо обеспечения и конвертировал около $2,6 миллиона в другие активы, при этом часть средств продолжала перемещаться уже после первых сообщений. Подробнее о том, как именно команда Initia приостанавливала блокчейн и какие шаги предпринимала в первые часы после атаки, мы уже писали в материале о том, как Initia остановила блокчейн после эксплойта на $2,6 миллиона.

Схема с mint AUSD и роль D2 Finance

Детали самой атаки раскрыла DeFi-платформа D2 Finance, работающая в экосистеме Initia. По их данным, злоумышленник воспользовался уязвимостью, которая позволила mint AUSD на сумму 2 миллиона токенов без какого-либо реального обеспечения. Проще говоря, атакующий просто создал стейблкоин из воздуха, а дальше начал обменивать его на реальные активы.

После эмиссии злоумышленник использовал кросс-чейн мосты, чтобы вывести примерно 1,4 миллиона AUSD, 105 ETH и 1,08 миллиона USDC в сеть Ethereum. По сути, атакующий обналичил фиктивно созданные токены через другие блокчейны, где у них уже нет следов происхождения внутри Initia. Команда D2 Finance связала причину инцидента с багом в одной из функций на языке Move, который как раз позволил создавать необеспеченные токены и затем обменивать их на активы в сети Ethereum.

Атакующий использовал уязвимость в функции Move для создания необеспеченных токенов AUSD, которые затем были обменены на активы в сети Ethereum

Выведенные средства злоумышленник консолидировал в одном кошельке Ethereum, где скопилось около 1135,5 ETH на сумму примерно $2,73 миллиона на момент анализа D2 Finance. Разница между первоначальной оценкой в $2,6 миллиона и итоговой суммой в кошельке объясняется ростом курса ETH за время, пока средства перемещались между сетями.

Что такое Initia и причём тут Terra

Initia позиционируется как layer-1 блокчейн, созданный специально для поддержки сети взаимосвязанных роллапов под общим названием Minitias. Проект интересен тем, что его основатели имеют корни в экосистеме Terra, и связка terra initia нередко всплывает в обсуждениях происхождения команды и идеологии проекта. После краха Terra часть разработчиков и инвесторов перешли к строительству новых инфраструктурных решений, и Initia стала одной из таких попыток переосмыслить модульную архитектуру блокчейнов.

Нативный токен сети, INIT, отреагировал на новость резким падением. По данным CoinGecko, в пятницу цена кратковременно просела до примерно $0,115, а затем отскочила выше $0,15. На момент написания статьи INIT торговался около $0,1496, что примерно на 14% выше показателя предыдущих суток. Такая волатильность типична для подобных инцидентов - рынок сначала паникует, а потом частично успокаивается, когда становится ясно, что сеть хотя бы остановлена и дальнейший ущерб ограничен.

Технический корень проблемы

Move, язык программирования, на котором построена логика Initia, изначально разрабатывался как более безопасная альтернатива Solidity именно благодаря строгим правилам работы с ресурсами и типами токенов. Ирония в том, что именно уязвимость в одной из функций Move и позволила атакующему обойти механизм обеспечения AUSD. Это в очередной раз показывает, что никакой язык программирования сам по себе не гарантирует безопасность, если логика смарт-контракта содержит логическую ошибку.

Похожие истории с некорректной проверкой условий в коде случаются регулярно, и далеко не только в крипте. Мы уже писали о том, как уязвимость в PHP оставалась незамеченной 14 лет, прежде чем её обнаружил чат-бот. Разница лишь в том, что в случае с блокчейнами цена ошибки измеряется не репутационными рисками, а реальными деньгами пользователей, которые невозможно вернуть простым патчем.

Что дальше и чего ждать пользователям

Initia официально не подтвердила точную сумму потерь и не раскрыла техническую причину эксплойта в деталях. Неясно также, как инцидент отразится на пользователях, которые держали активы в роллапах сети, и когда именно восстановят работу блокчейна. Cointelegraph не смог получить дополнительных комментариев от команды проекта через официальный аккаунт в X.

Для обычного пользователя эта история - очередное напоминание о том, что даже у технически продвинутых блокчейнов с модульной архитектурой остаются слепые зоны. Если вы держите активы в экосистемах с собственными стейблкоинами вроде AUSD, стоит внимательно следить за официальными каналами проекта и не спешить с операциями до полного восстановления сети. Кстати, если вас интересует, как вообще устроен выпуск токенов в принципе и какие риски закладываются ещё на этапе создания, у нас есть подробный разбор на примере того, как создать свой токен на Solana без программирования - там же видно, насколько важна правильная настройка эмиссии с самого начала.

Пока же индустрия вновь обсуждает надёжность межсетевых мостов и логику минтинга стейблкоинов. История с Initia встаёт в один ряд с другими недавними инцидентами, когда злоумышленники использовали подобные схемы для вывода активов через биржи и децентрализованные платформы вроде PancakeSwap, где обмен токенов происходит практически мгновенно и без лишних проверок происхождения средств.

Автор

Barbados