Initia führt Exploit über 2,7 Mio. US-Dollar auf Skript-Caching-Lücke in MoveVM zurück: Angreifer hält laut Projekt nun 1.135 ETH, Chain bleibt während der Prüfung der Patches pausiert

Initia hat erklärt, was das Projekt getroffen hat. In einem auf Freitag datierten und am Samstag gemeldeten Update teilte das Projekt laut KuCoin News und Phemex News mit, dass der Angreifer eine Schwachstelle beim Skript-Caching in seiner MoveVM, der virtuellen Maschine, die seine Smart Contracts ausführt, ausgenutzt habe, um Sicherheitsprüfungen zu umgehen und den Zustand der VM zu fälschen. Dadurch konnte der Angreifer seinem eigenen Konto WETH, iUSD und USDC gutschreiben, hinter denen nichts stand.

Die Berichte beziffern den Verlust auf rund 2,7 Mio. US-Dollar, eine Zahl, die auch The Crypto Basic nannte: 105 WETH, etwa 1,4 Millionen AUSD0, die über die LayerZero-Bridge abgeflossen sind, und etwa 1,08 Millionen USDC, die über Noble und das Transferprotokoll CCTP bewegt wurden. Der Angreifer tauschte alles in 1.135,52 ETH, die an einer einzigen Ethereum-Adresse liegen. Initia betonte, dass sein nativer Token INIT nicht geprägt wurde und sein Gesamtangebot unverändert ist.

Die Chain und ihre Rollups bleiben pausiert. Initia erklärte, Sicherheitspatches sollten innerhalb einiger Tage fertiggestellt und geprüft sein, die Arbeit an der Rückgewinnung der Vermögenswerte laufe mit Sicherheitspartnern, und eine vollständige Nachbetrachtung des Vorfalls werde folgen, so die Berichte.

Cryptoweek hatte am Freitag berichtet, dass Initia seine Blockchain gestoppt hatte, nachdem Forscher eine unbefugte Prägung von rund 2,6 Mio. US-Dollar gemeldet hatten; das Projekt beziffert die Summe nun auf rund 2,7 Mio. US-Dollar und hat die Ursache benannt. Offen ist nun, ob bei der Rückgewinnung ein Teil der ETH zurückgeholt wird und wann das Netzwerk wieder startet.