Initia impute son piratage de 2,7 millions de dollars à une faille de mise en cache des scripts de MoveVM, indique que l’attaquant détient désormais 1 135 ETH et maintient sa chaîne à l’arrêt pendant l’audit des correctifs

Initia a expliqué ce qui l’a frappé. Dans une mise à jour datée de vendredi et relayée samedi, le projet a indiqué, selon KuCoin News et Phemex News, que l’attaquant a exploité une vulnérabilité de mise en cache des scripts de sa MoveVM, la machine virtuelle qui exécute ses smart contracts (contrats intelligents), pour contourner les contrôles de sécurité et falsifier l’état de la VM. Cela a permis à l’attaquant de créditer son propre compte de WETH, d’iUSD et d’USDC qui ne reposaient sur rien.

Ces comptes rendus chiffrent la perte à environ 2,7 millions de dollars, un montant également repris par The Crypto Basic : 105 WETH, environ 1,4 million d’AUSD0 sortis via le bridge LayerZero et environ 1,08 million d’USDC déplacés via Noble et le protocole de transfert CCTP. L’attaquant a tout échangé contre 1 135,52 ETH, qui se trouvent sur une seule adresse Ethereum. Initia a souligné que son jeton natif INIT n’a pas été émis et que son offre totale est inchangée.

La chaîne et ses rollups restent à l’arrêt. Initia a indiqué que les correctifs de sécurité devraient être finalisés et audités d’ici quelques jours, que des travaux de récupération des actifs sont en cours avec des partenaires de sécurité et qu’un bilan complet de l’incident suivra, selon ces comptes rendus.

Cryptoweek avait rapporté vendredi qu’Initia avait arrêté sa blockchain après que des chercheurs eurent signalé une émission non autorisée d’environ 2,6 millions de dollars ; le projet chiffre désormais le montant à environ 2,7 millions de dollars et en a identifié la cause. À surveiller : la possibilité de récupérer une partie des ETH, et la date de redémarrage du réseau.