MoveVM de Initia tenía una vulnerabilidad que permitía falsificar estados, y los atacantes retiraron de él unos 2,7 millones de dólares.
El incidente ocurrió el 23 de octubre a las 22:59 (UTC+8). Según informó Initia, los atacantes aprovecharon una vulnerabilidad en la caché de scripts de MoveVM para eludir las comprobaciones de seguridad y falsificar el estado de MoveVM, acreditándose WETH, iUSD y USDC sin respaldo real. La clave es que no se trató de una emisión directa de tokens, sino de hacer que el estado pareciera legítimo para saltarse las comprobaciones de seguridad.
Se transfirieron fondos de la cadena por un valor aproximado de 2,7 millones de dólares, pero Initia recalcó que la oferta total de los tokens afectados no cambió y que tampoco se emitieron nuevos tokens $INIT . En otras palabras, se manipuló el saldo contable, pero la cantidad total de tokens no aumentó. Para los titulares, que los datos de oferta estén intactos no significa que no haya habido pérdidas; lo que habrá que seguir ahora es el destino real de los fondos robados y cómo se gestionan.
MoveVM suele destacar por su seguridad de tipos y su modelo de recursos. En este caso, el problema estaba en la caché de scripts, un detalle de implementación de la capa de ejecución. Cada vez más proyectos modulares y entre cadenas consideran MoveVM como entorno de ejecución; si hay una brecha en la lógica de validación de la capa de caché, los estados falsificados pueden eludir las comprobaciones que deberían aplicarse. Los equipos del ecosistema Move deberían tener en cuenta esta pista y revisar sus propios sistemas.
$USDC #Initia #MoveVM #IncidenteDeSeguridad
El incidente ocurrió el 23 de octubre a las 22:59 (UTC+8). Según informó Initia, los atacantes aprovecharon una vulnerabilidad en la caché de scripts de MoveVM para eludir las comprobaciones de seguridad y falsificar el estado de MoveVM, acreditándose WETH, iUSD y USDC sin respaldo real. La clave es que no se trató de una emisión directa de tokens, sino de hacer que el estado pareciera legítimo para saltarse las comprobaciones de seguridad.
Se transfirieron fondos de la cadena por un valor aproximado de 2,7 millones de dólares, pero Initia recalcó que la oferta total de los tokens afectados no cambió y que tampoco se emitieron nuevos tokens $INIT . En otras palabras, se manipuló el saldo contable, pero la cantidad total de tokens no aumentó. Para los titulares, que los datos de oferta estén intactos no significa que no haya habido pérdidas; lo que habrá que seguir ahora es el destino real de los fondos robados y cómo se gestionan.
MoveVM suele destacar por su seguridad de tipos y su modelo de recursos. En este caso, el problema estaba en la caché de scripts, un detalle de implementación de la capa de ejecución. Cada vez más proyectos modulares y entre cadenas consideran MoveVM como entorno de ejecución; si hay una brecha en la lógica de validación de la capa de caché, los estados falsificados pueden eludir las comprobaciones que deberían aplicarse. Los equipos del ecosistema Move deberían tener en cuenta esta pista y revisar sus propios sistemas.
$USDC #Initia #MoveVM #IncidenteDeSeguridad