La cadena no fue vulnerada: su propia máquina virtual «llevó mal las cuentas».
Según publicó Initia en X, alrededor de las 22:59 del 23 de octubre, hora de Pekín, un atacante aprovechó una vulnerabilidad en la caché de scripts de MoveVM para hacer que código malicioso eludiera las comprobaciones de seguridad y falsificara el estado de la cadena. Así, se acreditó de la nada WETH, iUSD y USDC sin respaldo en activos. Unos 42 minutos después, a las 23:41, se detuvieron Initia L1 y todos sus Rollups. El equipo afirmó que estaba investigando el alcance del impacto junto con equipos de seguridad, validadores y exchanges.
¿Cuánto se perdió? Una publicación de un cofundador, compartida por la cuenta oficial, calcula que el atacante acuñó y transfirió entre cadenas activos por un valor aproximado de 2,7 millones de dólares. También señala que INIT nativo no se vio afectado. Sin embargo, por ahora el equipo oficial no ha publicado cifras definitivas de pérdidas ni un plan de compensación.
Mi opinión: lo más inquietante de este tipo de incidentes es que el problema no está en una clave privada ni en un pequeño contrato, sino en el entorno de ejecución más básico. Una vez que las «monedas creadas de la nada» salen por otras cadenas, se mezclan en los pools de terceros. Detener la cadena solo sirve para contener los daños; no permite recuperar lo que ya se ha ido. Si tienes activos vinculados a estas cadenas, sigue las próximas comunicaciones por los canales oficiales y no te apresures a comprar o vender en pools con poca liquidez. Estos días también abundarán los enlaces de phishing que se hacen pasar por páginas oficiales para «reclamar compensaciones»: no hagas clic en ninguno.
Según publicó Initia en X, alrededor de las 22:59 del 23 de octubre, hora de Pekín, un atacante aprovechó una vulnerabilidad en la caché de scripts de MoveVM para hacer que código malicioso eludiera las comprobaciones de seguridad y falsificara el estado de la cadena. Así, se acreditó de la nada WETH, iUSD y USDC sin respaldo en activos. Unos 42 minutos después, a las 23:41, se detuvieron Initia L1 y todos sus Rollups. El equipo afirmó que estaba investigando el alcance del impacto junto con equipos de seguridad, validadores y exchanges.
¿Cuánto se perdió? Una publicación de un cofundador, compartida por la cuenta oficial, calcula que el atacante acuñó y transfirió entre cadenas activos por un valor aproximado de 2,7 millones de dólares. También señala que INIT nativo no se vio afectado. Sin embargo, por ahora el equipo oficial no ha publicado cifras definitivas de pérdidas ni un plan de compensación.
Mi opinión: lo más inquietante de este tipo de incidentes es que el problema no está en una clave privada ni en un pequeño contrato, sino en el entorno de ejecución más básico. Una vez que las «monedas creadas de la nada» salen por otras cadenas, se mezclan en los pools de terceros. Detener la cadena solo sirve para contener los daños; no permite recuperar lo que ya se ha ido. Si tienes activos vinculados a estas cadenas, sigue las próximas comunicaciones por los canales oficiales y no te apresures a comprar o vender en pools con poca liquidez. Estos días también abundarán los enlaces de phishing que se hacen pasar por páginas oficiales para «reclamar compensaciones»: no hagas clic en ninguno.