O MoveVM da Initia tinha uma vulnerabilidade que permitia falsificar estados, e os atacantes retiraram de lá cerca de US$ 2,7 milhões.
O incidente ocorreu em 23 de outubro, às 22:59 (UTC+8). Segundo a divulgação da Initia, os atacantes exploraram uma vulnerabilidade no cache de scripts do MoveVM. Após contornarem as verificações de segurança, falsificaram o estado do MoveVM e creditaram a si mesmos WETH, iUSD e USDC sem lastro real. O ponto crucial é que não houve emissão direta de novos tokens: eles fizeram o estado parecer legítimo e, assim, contornaram as verificações de segurança.
Cerca de US$ 2,7 milhões foram retirados da blockchain, mas a Initia ressaltou que a oferta total dos tokens afetados não mudou e que $INIT também não foi emitido. Em outras palavras, os registros contábeis foram adulterados, mas a quantidade total de tokens não aumentou. Para os detentores, dados de oferta inalterados não significam que não houve perdas; o que importa agora é acompanhar o destino efetivo dos fundos roubados e o que será feito com eles.
O MoveVM sempre teve como diferenciais a segurança de tipos e o modelo de recursos. O problema desta vez estava no cache de scripts, um detalhe de implementação da camada de execução. Cada vez mais projetos cross-chain e modulares adotam o MoveVM como opção de ambiente de execução. Se houver uma falha na lógica de validação da camada de cache, estados falsificados poderão contornar as verificações que deveriam ser aplicadas. As equipes que trabalham com o ecossistema Move deveriam usar este caso como referência para fazer uma revisão interna.
$USDC #Initia #MoveVM #Incidente de segurança
O incidente ocorreu em 23 de outubro, às 22:59 (UTC+8). Segundo a divulgação da Initia, os atacantes exploraram uma vulnerabilidade no cache de scripts do MoveVM. Após contornarem as verificações de segurança, falsificaram o estado do MoveVM e creditaram a si mesmos WETH, iUSD e USDC sem lastro real. O ponto crucial é que não houve emissão direta de novos tokens: eles fizeram o estado parecer legítimo e, assim, contornaram as verificações de segurança.
Cerca de US$ 2,7 milhões foram retirados da blockchain, mas a Initia ressaltou que a oferta total dos tokens afetados não mudou e que $INIT também não foi emitido. Em outras palavras, os registros contábeis foram adulterados, mas a quantidade total de tokens não aumentou. Para os detentores, dados de oferta inalterados não significam que não houve perdas; o que importa agora é acompanhar o destino efetivo dos fundos roubados e o que será feito com eles.
O MoveVM sempre teve como diferenciais a segurança de tipos e o modelo de recursos. O problema desta vez estava no cache de scripts, um detalhe de implementação da camada de execução. Cada vez mais projetos cross-chain e modulares adotam o MoveVM como opção de ambiente de execução. Se houver uma falha na lógica de validação da camada de cache, estados falsificados poderão contornar as verificações que deveriam ser aplicadas. As equipes que trabalham com o ecossistema Move deveriam usar este caso como referência para fazer uma revisão interna.
$USDC #Initia #MoveVM #Incidente de segurança