Один блокчейн зупинився за командою — розбір того, як безлімітна емісія на Initia принесла зловмисникам 2,7 млн доларів
Минулої п’ятниці після обіду один публічний блокчейн сам натиснув на паузу. В офіційному акаунті Initia повідомили, що через інцидент безпеки основна мережа та розгорнуті на ній Rollup-мережі повністю зупинилися о 15:41:30 UTC 23 жовтня. Блокчейн завмер на блоці № 23365925, і відтоді нових блоків не було. Це вплинуло й на тих, у кого нічого не вкрали: депозити, обмін і перекази між Rollup-мережами одночасно заморозили, а монети на рахунках у ту мить стали недоступними. Сума збитків — не єдина проблема: сама зупинка блокчейна вже є інцидентом.
Схема атаки була не надто складною. Дослідник безпеки Spreek першим публічно забив на сполох: хтось створював монети з нічого й уже обміняв активи майже на 2,6 млн доларів. Співзасновник Initia Ezaan Mangalji згодом озвучив попередній висновок: у середовищі виконання MoveVM був дефект Day 0, який існував від самого запуску й дозволив зловмиснику обійти ліміт емісії та випустити додаткові токени безпосередньо в основній мережі. Ончейн-відстеження D2 Finance доповнило картину: зловмисник створив близько 2 млн токенів, подібних до AUSD, без реального забезпечення, переказав їх через міжмережевий міст до Ethereum, а зрештою зібрав на одному гаманці близько 1135.5 ETH — приблизно 2,73 млн доларів за тодішнім курсом. Ця транзакція коштувала лише 135888 одиниць Gas і напряму викликала функцію Move. Захист мосту не зламали — вразливість була на етапі емісії.
Тут важливо розділити три твердження. По-перше, 2,7 млн доларів — це попередня оцінка співзасновника, доповнена ончейн-підрахунками D2 Finance. Команда проєкту ще не оприлюднила остаточно підтверджену суму збитків і час відновлення роботи, тож вважати попередню цифру остаточною зарано. По-друге, співзасновник чітко заявив, що цей дефект не стосується нативного токена INIT: було викрадено активи, отримані в обмін на токени, випущені понад ліміт. Побачити назву INIT і зробити висновок, що додаткову емісію провели саме для нативної монети, — це переплутати одне з іншим. По-третє, Agora, емітент AUSD, окремо уточнила, що не розгортала жодного контракту в Initia, а AUSD в інших мережах працює як зазвичай і має повне забезпечення. Твердження, що зламали контракт емітента AUSD, також неправильне.
Біржі відреагували швидко. 23 жовтня о 15:57 Upbit призупинила депозити й виведення INIT, тоді як торгівля на платформі тривала у звичайному режимі. Між зупинкою блокчейна та призупиненням депозитів великою біржею минуло лише 16 хвилин — новини поширюються значно швидше, ніж люди встигають вручну відреагувати. Того дня INIT спершу впав приблизно на 14%. Першою реакцією ринку був страх, але те, чи зазнаєш ти збитків, часто залежить від того, чи можеш ти діяти в цей момент.
Цей випадок дає роздрібним інвесторам три практичні уроки. Зупинка блокчейна — це окремий вид ризику: якщо монети не вкрали, це ще не означає, що ними можна скористатися. Безпечніше тримати частину коштів у гаманці, який ти контролюєш, а не вкладати все в екосистему одного блокчейна. Ліміт емісії та забезпечення — це два найважливіші запитання, які варто ставити, оцінюючи проєкт: чи можна створити більше токенів із нічого і чи забезпечені створені активи чимось реальним? Якщо на ці запитання немає чіткої відповіді, навіть найзручніший міст лише допоможе швидше перетворити щойно випущені з нічого токени на гроші. До повідомлень про нібито відновлення роботи чи повернення коштів, які з’являються в день інциденту, слід ставитися з підозрою. Сама Initia в офіційному оголошенні застерегла користувачів від неофіційних посилань. «Швидкі рішення», що з’являються під час зупинки мережі, майже завжди націлені на тих, хто поспішає.
Моя думка проста: урок цього інциденту не в тому, наскільки великою є сума 2,7 млн доларів, а в тому, що через дефект на етапі емісії один блокчейн за 16 хвилин може перейти від нормальної роботи до повного замороження всієї мережі. Роздрібні інвестори не можуть уберегтися від дефекту Day 0, але можуть не тримати всі свої статки в одному місці й не натискати на випадкові посилання під час зупинки мережі. Оцінюючи проєкт, поставте ще одне запитання: чи можна випустити більше цих монет? Найдешевше поставити його до того, як станеться інцидент.
А вам доводилося стикатися із зупинкою блокчейна, призупиненням депозитів на біржі та ситуацією, коли монети є на рахунку, але вивести їх неможливо? Як ви тоді діяли?
#Initia #链上安全 #被黑复盘 #跨链桥 #Безпека гаманця
—— web3韭菜小凯
Цей допис — лише розбір інциденту та особиста думка, а не інвестиційна порада. Згадані суми ґрунтуються на публічних повідомленнях і попередніх заявах команди проєкту; остаточна сума збитків визначатиметься за офіційно підтвердженими даними.