Une faille dans le cache a fait perdre environ 2,7 millions de dollars à Initia en quelques minutes. L’attaquant n’a pas émis de nouveaux INIT ni modifié l’offre totale de jetons : il a falsifié l’état de MoveVM pour créditer son compte de WETH, d’iUSD et d’USDC sans aucune couverture réelle. Des chiffres sont ainsi apparus de nulle part dans les comptes, tandis que des actifs bien réels étaient transférés sur la chaîne.
Le déroulement est clair : le 23 octobre à 22 h 59 (UTC+8), l’attaquant a exploité une faille dans le cache des scripts de MoveVM pour contourner les contrôles de sécurité. Avant la mise en pause du réseau, environ 105 WETH et 1,4 million d’AUSD0 ont été transférés via LayerZero. Environ 1,08 million d’USDC ont également été transférés via Noble et CCTP. Le tout a ensuite été converti en 1 135,52 ETH, qui se trouvent actuellement sur une adresse Ethereum.
Ce qui rend cette affaire notable, c’est que l’offre totale n’a pas changé et qu’aucun INIT n’a été émis, mais que les actifs volés sont bien réels. La L1 et les rollups sont toujours en pause. Le correctif de sécurité devrait être achevé et audité dans les prochains jours, tandis que les efforts de récupération des actifs se poursuivent avec des partenaires spécialisés en sécurité. Pour les bridges inter-chaînes et l’écosystème MoveVM, maintenant que ce contournement des contrôles au niveau du cache a été confirmé, les détails des correctifs dans le rapport d’analyse à venir seront plus instructifs que le montant des pertes.$BTC #Initia #MoveVM
$ETH $USDC #Ethereum
Le déroulement est clair : le 23 octobre à 22 h 59 (UTC+8), l’attaquant a exploité une faille dans le cache des scripts de MoveVM pour contourner les contrôles de sécurité. Avant la mise en pause du réseau, environ 105 WETH et 1,4 million d’AUSD0 ont été transférés via LayerZero. Environ 1,08 million d’USDC ont également été transférés via Noble et CCTP. Le tout a ensuite été converti en 1 135,52 ETH, qui se trouvent actuellement sur une adresse Ethereum.
Ce qui rend cette affaire notable, c’est que l’offre totale n’a pas changé et qu’aucun INIT n’a été émis, mais que les actifs volés sont bien réels. La L1 et les rollups sont toujours en pause. Le correctif de sécurité devrait être achevé et audité dans les prochains jours, tandis que les efforts de récupération des actifs se poursuivent avec des partenaires spécialisés en sécurité. Pour les bridges inter-chaînes et l’écosystème MoveVM, maintenant que ce contournement des contrôles au niveau du cache a été confirmé, les détails des correctifs dans le rapport d’analyse à venir seront plus instructifs que le montant des pertes.$BTC #Initia #MoveVM
$ETH $USDC #Ethereum