Die Entwickler der modularen Blockchain Initia stoppten das Netzwerk und die darauf laufenden Rollups, zusätzliche Blockchains auf Basis des Hauptnetzwerks, am Freitag, 23. Oktober, nachdem ein Angreifer eine Schwachstelle ausgenutzt und ungedeckte Token geprägt hatte. Das teilte Mitgründer Ezaan Mangalji mit, der in der Community unter dem Pseudonym Zon bekannt ist.
Laut Mangalji nutzte der Angreifer einen bislang unbekannten Fehler in der virtuellen Maschine MoveVM, die auf dem Cosmos SDK läuft, und prägte 2 Millionen Token des dollargebundenen Stablecoins AUSD. Über LayerZero, eine Brücke für den Token-Transfer zwischen verschiedenen Blockchains, transferierte er rund 1,4 Millionen AUSD, 105 ETH und 1,08 Millionen USDC nach Ethereum. Mangalji bezifferte den insgesamt abgeflossenen Betrag auf rund 2,7 Millionen Dollar; der unabhängige Sicherheitsforscher Spreek, der den Angriff zuerst entdeckte, schätzte den Verlust auf 2,6 Millionen Dollar.
Mangalji schrieb: „Der Angreifer konnte Token im Wert von rund 2,7 Millionen Dollar in AUSD, ETH und USDC prägen und über die Brücke transferieren, bevor die Chain angehalten wurde.“ Die Schwachstelle habe den nativen Netzwerk-Token INIT nicht betroffen, so Mangalji.
Agora, der Emittent von AUSD, erklärte, der Stablecoin bleibe trotz der unautorisierten Prägung vollständig gedeckt. Die südkoreanische Börse Upbit setzte Einzahlungen und Abhebungen von INIT vorübergehend aus und warnte Trader vor dem Risiko, die Börse KuCoin stoppte den Handel mit dem Token einen Tag später unter Verweis auf Wartungsarbeiten.
Zum Zeitpunkt der Veröffentlichung hatte Initia weder einen Termin für den Neustart des Netzwerks genannt noch einen offiziellen Bericht zur Ursache des Vorfalls veröffentlicht. Die Untersuchung laufe laut Mangalji gemeinsam mit Validatoren, Börsen und Sicherheitspartnern weiter.
