Un hacker generó dinero en la blockchain y se llevó 2,7 millones de dólares; la red tuvo que cerrarse de urgencia.

En la blockchain de Initia, saldos falsos se convirtieron en criptoactivos reales por un valor aproximado de 2,7 millones de dólares. El atacante aprovechó un error de software, sacó los fondos mediante puentes entre cadenas y obligó a los desarrolladores a detener la red. El 23 de octubre a las 15:41:30 UTC se detuvo la cadena de bloques de capa uno principal y las redes Rollup relacionadas que procesan las transacciones de las aplicaciones.

Al día siguiente, el equipo de Initia explicó la causa del ataque. Un error en el almacenamiento en caché de los scripts de la máquina virtual MoveVM permitía eludir las comprobaciones de seguridad y alterar el estado interno de la red. Como resultado, el atacante añadió a sus propias cuentas WETH, iUSD y USDC sin respaldo, aunque el recuento total del suministro de tokens no cambió. La criptomoneda nativa de la red INIT no fue falsificada.

El ataque empezó el 23 de octubre alrededor de las 14:59 UTC. Antes de la parada de la blockchain, el atacante logró transferir a través de LayerZero aproximadamente 1,4 millones de AUSD0 y 105 WETH, y a través de la red Noble y el protocolo Circle CCTP alrededor de 1,08 millones de USDC. Los activos retirados se cambiaron por 1135,52 ETH y se agruparon en una única dirección de Ethereum. La valoración monetaria de las transferencias sigue siendo preliminar, ya que continúa la verificación de las consecuencias.

Los puentes entre cadenas permiten transferir valor entre blockchains. Normalmente, un puente bloquea las monedas reales en una reserva y emite tokens equivalentes en otra red. Al revertir la transferencia, la reserva libera los activos reales. En el caso de Initia, el atacante presentó saldos creados sin respaldo, y los puentes pagaron fondos desde las reservas destinadas a usuarios habituales.

La compañía Bitquery reconstruyó el movimiento de fondos a través de las blockchains. Según estimaciones de los analistas, en 13 segundos el atacante creó activos ficticios con un valor nominal de 7,48 millones de dólares, pero en realidad consiguió retirar alrededor de 2,73 millones. El resto no equivale a dinero robado. Una parte significativa de los iUSD falsos quedó dentro de la red detenida sin posibilidad de cambiarse por monedas reales.

Las consecuencias más visibles afectaron al puente de USDC. Según los cálculos de Bitquery, la reserva en la red Noble se redujo de 1,09 millones de dólares a 63 dólares en 36 minutos. Incluso antes de la detención, en Initia se registraron 55 intentos fallidos de retirada normal de USDC, en su mayoría realizados por un mismo bot de trading. Reservas similares para ETH y AUSD también perdieron una parte significativa de sus fondos.

Un principio similar operó en el ataque de agosto a Maya Protocol. Entonces, errores en la contabilidad permitieron intercambiar tokens ficticios por activos reales; sin embargo, en Initia la causa fue una falla en MoveVM. El emisor del stablecoin AUSD, la empresa Agora, aclaró que no emitió AUSD directamente en Initia y que la garantía del propio AUSD no se vio afectada. El ataque afectó a una representación externa del activo que utilizaba un puente entre cadenas.

Initia está preparando una corrección y una auditoría del código, y también intenta recuperar activos con el apoyo de socios. A fecha del 26 de octubre no hay confirmación de la reanudación del funcionamiento de la red. Los exchanges Bithumb y Upbit asignaron a INIT la condición de activo de mayor riesgo; los depósitos y retiros de tokens están suspendidos. Los plazos de restauración y el tamaño final de las pérdidas aún no están determinados.