Блокчейн-проект Initia остановил основную сеть и связанные с ней сети после атаки, позволившей злоумышленнику создать необеспеченные цифровые активы и обменять их через межсетевую инфраструктуру на реальные токены. По предварительной оценке сооснователя Initia Эзаана Мангальджи, до остановки сети атакующий успел вывести активы примерно на $2,7 млн.
Предварительное расследование указывает на неизвестную ранее ошибку в программном обеспечении Initia. Она позволяла создавать дополнительные токены, однако, по словам Мангальджи, не затрагивала нативный токен INIT. Команда продолжает выяснять полный масштаб последствий вместе со специалистами по безопасности, валидаторами и биржами.
Как необеспеченные токены превратились в реальные активы
Исследователи D2 Finance восстановили наиболее важную часть атаки. Злоумышленник создал внутри экосистемы Initia необеспеченное представление стейблкоина AUSD. После межсетевого перевода механизм на стороне Ethereum выдал ему уже существующие и обеспеченные активы.
Таким образом, проблема возникла не из-за взлома Ethereum или самого межсетевого протокола — инфраструктура обработала операцию как обычную, не определив, что исходные токены появились благодаря ошибке в Initia.
Полученные AUSD и USDC были обменены на Ethereum. В итоге исследователи проследили консолидацию 1135,52 ETH на новом кошельке, связанном с атакой.
При этом эмитент AUSD компания Agora уточнила, что её контракты не развернуты в Initia и новые настоящие AUSD там не выпускались. Инцидент затронул стороннюю инфраструктуру, использовавшую AUSD. Компания также сообщила о мерах по блокировке связанных с атакой средств там, где это позволяют её контракты.
Сеть остановлена, ввод и вывод ограничены
После обнаружения атаки Initia прекратила работу блокчейна и связанных сетей, чтобы предотвратить дальнейший вывод активов. Срок возобновления работы на момент публикации не объявлен.
Некоторые биржи вслед за этим ограничили операции с INIT. В частности, Kraken временно остановила ввод и вывод токена из-за проблем в сети Initia.
Данных о массовой краже INIT из пользовательских кошельков пока нет. Также Initia ещё не опубликовала окончательный технический отчёт и не назвала подтверждённую сумму ущерба.
Инцидент показывает уязвимость межсетевых систем: если одна сеть принимает необеспеченный актив за настоящий, ошибка может позволить обменять его на реальные средства уже в другом блокчейне. В случае с Initia именно остановка сети ограничила дальнейшее развитие атаки, однако окончательные последствия станут понятны после завершения расследования.
Заместитель главного редактора Happy Coin News. Образование: экономист. Второе образование маркетинг. В криптоиндустрии с 2014 года. Неоднократно выступал в качестве эксперта на РБК. Биткоин — это не спекуляции, а свобода. Но, свобода требует личной ответственности.
