Uma vulnerabilidade no cache fez a Initia perder cerca de US$ 2,7 milhões em poucos minutos. O invasor não emitiu mais INIT nem alterou a oferta total de tokens: falsificou o estado do MoveVM e creditou a si mesmo WETH, iUSD e USDC sem lastro real — os números apareceram do nada nos registros, enquanto ativos reais eram transferidos on-chain.
O caminho percorrido está claro: em 23 de outubro, às 22h59 (UTC+8), o invasor explorou uma vulnerabilidade no cache de scripts do MoveVM para contornar as verificações de segurança. Antes da pausa da rede, cerca de 105 WETH e 1,4 milhão de AUSD0 foram transferidos via LayerZero; outros cerca de 1,08 milhão de USDC foram transferidos via Noble e CCTP. Em seguida, tudo foi convertido em 1.135,52 ETH, que agora estão em um endereço da Ethereum.
O que chama atenção nesse caso é que a oferta total não mudou e não houve emissão adicional de INIT, mas os ativos roubados eram reais. A L1 e a Rollup continuam pausadas. A correção de segurança deve ser concluída e auditada nos próximos dias, enquanto a recuperação dos ativos avança em conjunto com parceiros de segurança. Para as pontes cross-chain e o ecossistema MoveVM, uma vez confirmada a possibilidade de contornar as verificações pela camada de cache, os detalhes das correções no relatório de análise posterior serão mais úteis como referência do que o valor das perdas. $BTC #Initia #MoveVM
$ETH $USDC #Ethereum
O caminho percorrido está claro: em 23 de outubro, às 22h59 (UTC+8), o invasor explorou uma vulnerabilidade no cache de scripts do MoveVM para contornar as verificações de segurança. Antes da pausa da rede, cerca de 105 WETH e 1,4 milhão de AUSD0 foram transferidos via LayerZero; outros cerca de 1,08 milhão de USDC foram transferidos via Noble e CCTP. Em seguida, tudo foi convertido em 1.135,52 ETH, que agora estão em um endereço da Ethereum.
O que chama atenção nesse caso é que a oferta total não mudou e não houve emissão adicional de INIT, mas os ativos roubados eram reais. A L1 e a Rollup continuam pausadas. A correção de segurança deve ser concluída e auditada nos próximos dias, enquanto a recuperação dos ativos avança em conjunto com parceiros de segurança. Para as pontes cross-chain e o ecossistema MoveVM, uma vez confirmada a possibilidade de contornar as verificações pela camada de cache, os detalhes das correções no relatório de análise posterior serão mais úteis como referência do que o valor das perdas. $BTC #Initia #MoveVM
$ETH $USDC #Ethereum