Initia ağında 23 Ekim’de meydana gelen güvenlik ihlali, Noble blokzincirindeki USDC köprü rezervlerinin 63 dolara kadar gerilmesine ve kullanıcı çekim işlemlerinin başarısız olmasına neden oldu. Bitquery incelemelerine göre yaklaşık 3 milyon dolar gerçek varlık çekilirken, Initia ekibi MoveVM hatasını yamalamak ve ağı yeniden güvenli şekilde açmak için çalışmalarını sürdürüyor.
23 Ekim tarihinde gerçekleşen Initia ağ saldırısı, projenin USDC köprü rezervlerinin (bridge reserve) 63 dolara kadar düşmesine ve kullanıcıların token çekim işlemlerinin başarısızlıkla sonuçlanmasına yol açtı. Blockchain veri analitiği şirketi Bitquery’nin yürüttüğü incelemelere göre, Noble blokzinciri üzerinde tutulan ve Initia ağındaki stablecoin temsilciliklerini destekleyen rezervler, saldırganın izinsiz bakiyeler oluşturarak fon çekmesiyle neredeyse tamamen tükendi. Yaşanan krizin ardından ağın 1. katman (L1) ve rollup altyapısı aynı gün durduruldu.
Bitquery İncelemesi ve Rezervlerin Tükenmesi
Bitquery'nin raporu, saldırının köprü mekanizması üzerindeki yıkıcı etkisini gözler önüne serdi. Noble blokzincirinde tutulan USDC rezervi, çekim işlemlerinden hemen önce yaklaşık 1 milyon dolar seviyesindeyken, 23 Ekim UTC saat 15:37 itibarıyla gün içi en düşük seviyesi olan 63 dolara kadar geriledi. Aynı gün saat 18:52'deki sonraki kontrolde ise rezervin yalnızca 24.000 dolar civarında olduğu tespit edildi.
Analiz şirketi, ağ durdurulmadan önce 55 başarısız olağan USDC çekim denemesi kaydetti. Bu denemelerin çoğunun, aynı bakiyeyi defalarca sunan tek bir bot tarafından gerçekleştirildiği belirlendi. Saldırganın gerçekleştirdiği daha büyük çekim talepleri de rezervlerin tükenmesi nedeniyle reddedildi. Initia kurucu ortağı @ItsAlwaysZonny, durdurma kararından önce köprü üzerinden yaklaşık 3 milyon doların çekildiğini tahmin ederken, Bitquery bu rakamı köprü rezervlerinden ödenen gerçek varlıklar olarak doğruladı ve bu tutarı, saldırganın elindeki yaklaşık 7 milyon dolarlık yetkisiz bakiye nominal değerinden ayrı tuttu.
MoveVM Hatası ve Teknik Arka Plan
24 Ekim tarihinde bir güncelleme yayınlayan Initia ekibi, saldırının temel nedeni olarak MoveVM script-caching (komut dosyası önbellekleme) hatasını gösterdi. İlgili güvenlik açıklarının güvenlik kontrollerini baypas ettiğini belirten proje, saldırganın toplam arzları değiştirmeden unbacked (karşılıksız) WETH, iUSD ve USDC bakiyeleri oluşturduğunu bildirdi. Açıklamada, yerel INIT token arzında herhangi bir basım (mint) yapılmadığı vurgulandı.
Olayla ilgili adı geçen diğer bir varlık olan Agora'nın AUSD stablecoin'i açısından ise durum netleştirildi. @withAUSD hesabı üzerinden yapılan açıklamada, AUSD sözleşmesinin Initia üzerinde konuşlandırılmadığı ve ağda hiç AUSD basılmadığı ifade edildi. Etkilenen maruziyetin, Agora tarafından işletilmeyen ve Ethereum üzerinde çalışan farklı bir üçüncü taraf ürün olduğu kaydedildi.
Ağın Mevcut Durumu ve Çözüm Bekleyen Sorular
Initia L1 ve rollup ağları, 23 Ekim UTC saat 15:41:30 itibarıyla tamamen durduruldu. 24 Ekim UTC saat 08:46'da yapılan son resmi güncellemede, ağların kapalı kalmaya devam ettiği, bir yama ve güvenlik denetiminin birkaç gün içinde tamamlanmasının beklediği bildirildi. Varlık kurtarma çalışmalarının sürdüğünü belirten ekip, henüz net bir yeniden başlatma tarihi veya kullanıcı kayıplarının telafi edilmesine yönelik koşulları paylaşmadı. Bu durum, eksik köprü rezervlerinin nasıl yeniden oluşturulacağı konusundaki belirsizliği koruyor.
