Initia bestätigt 2,7 Millionen Dollar Schaden, Kette steht weiter

Initia hat den Angriff auf seine Blockchain bestätigt und erstmals beziffert: Rund 2,7 Millionen Dollar hat der Angreifer nach Angaben des Projekts nach Ethereum geholt, bevor das Netz angehalten wurde. Ursache war ein Fehler in der MoveVM, die auf Initia die Smart Contracts ausführt. Die Kette und alle Rollups stehen seit Freitag still, einen Termin für den Neustart gibt es nicht.

Am Freitag hatte Initia nur den Stillstand bestätigt und keine Summe genannt. Die Zahlen stammten bis dahin aus einer Analyse von D2 Finance.

Ein Fehler im Skript-Speicher öffnete den Weg

Um 16:59 Uhr MESZ nutzte der Angreifer nach der Darstellung von Initia einen Fehler im Zwischenspeicher für Skripte der MoveVM. Schadcode kam so an den Sicherheitsprüfungen vorbei. Der Angreifer verfälschte den gespeicherten Zustand und schrieb sich ungedeckte WETH, iUSD und USDC gut, ohne dass sich die Gesamtmenge dieser Tokens änderte.

Neue INIT entstanden dabei nicht.

Damit weicht die Darstellung von der ersten Analyse ab: D2 Finance hatte von 2 Millionen frisch geprägten AUSD gesprochen. Initia beschreibt keinen Prägevorgang, sondern verfälschte Kontostände.

Der Angreifer brückte 42 Minuten lang

Um 17:41 Uhr MESZ hielt Initia die Kette an. Bis dahin hatte der Angreifer 105 WETH und rund 1,4 Millionen AUSD0 über LayerZero sowie rund 1,08 Millionen USDC über Noble und Circles Bridge CCTP nach Ethereum gebracht. Dort tauschte er alles in 1.135,52 Ether, die nach Angaben von Initia in einer Wallet auf Ethereum liegen.

Am Samstagvormittag um 10:46 Uhr MESZ folgte die Erklärung auf X: Den Sicherheitsfix erwartet das Projekt “to be completed and audited in a few days”, also in einigen Tagen fertig und geprüft. Mit Sicherheitspartnern versuche man, die Mittel zurückzuholen, und einen vollständigen Bericht will Initia nachreichen.

Gebrückte Guthaben bleiben eingefroren

Wer Ether, AUSD oder USDC auf Initia gebrückt hat, kann sie weiter nicht bewegen. Ob die Kette auf einen Stand vor dem Angriff zurückgesetzt wird, sagt Initia nicht. Offen ist auch, was mit den gefälschten Guthaben geschieht.

Der INIT-Kurs hat den Angriff bisher nicht abgestraft: Am Sonntag um 10:05 Uhr MEZ kostete der Token 0,153 Dollar, 6,9 Prozent mehr als vor 24 Stunden, und die 1.135,52 Ether des Angreifers waren zur selben Zeit bei 2.333 Dollar je Ether rund 2,65 Millionen Dollar wert. Quelle: CoinGecko

Wann Initia das Netz wieder startet, hängt am Prüfbericht für den Fix, den das Projekt noch nicht vorgelegt hat.