Initia Saldırısında USDC Rezervleri 63 Dolara Düştü, Yeniden Başlatma Tarihi Yok

Initia olayında resmî olarak belgelenenlerle henüz kimsenin sonuca bağlayamadığı kesin bir çizgiyle ayrılıyor. Saldırı, yerel saatle 23 Ekim Cuma günü Initia blockchain ağını vurdu ve aynı gün 15:37 UTC itibarıyla ağın para çekim işlemlerinin arkasında duran USDC rezervleri yaklaşık 1 milyon dolardan gün içi en düşük seviyesi olan 63 dolara çöktü. Bu rezervler Noble blockchain ağı üzerinde duruyordu; zincir üstü veriler, 18:52 UTC'de yapılan yeniden kontrolde rezervin yalnızca yaklaşık 24 bin dolar kaldığını gösteriyor. Akışların şimdiye kadarki en kapsamlı kamuya açık izlemesini yapan zincir üstü analitik şirketi Bitquery, durdurma öncesindeki pencerede 55 başarısız USDC para çekim denemesi saydı. Denemelerin çoğu tek bir bottan geliyordu; bot aynı bakiyeyi tekrar tekrar gönderiyordu ve rezerv tükendikten sonra saldırganın kendi büyük çekimi de başarısız oldu. Initia, aynı gün 15:41:30 UTC'de, yani rezervin dibini görmesinden dört dakika sonra hem katman-1 ağını hem de rollup'ını durdurarak kalan fonlar üzerindeki koşuyu kesti. Saldırganın izlediği rota da netleşti: arkasında teminat bulunmayan yetkisiz bakiyeler kullanılarak köprüden değer çekildi ve bu, sıradan kullanıcıların çekim yolunu kapattı. Birçok kullanıcı için etki, çekim işlemlerinin tükenmiş rezerve karşı artık çalışmamasından ibaretti. Initia'nın rollup'ları ortak bir katman-1 üzerinde appchain olarak çalışıyor; tabandaki bir köprü protokolü arızası, ağın gösterdiği her tokena dokunuyor. Bu olayda USDC fiyatı hareket eden değişken değil; arıza, stablecoin'in dolar karşılığında değil, bir köprüyü çalıştıran saklama katmanında. Hâlâ netleşmeyen kısım ise durdurmadan sonrası: Initia ne bir yeniden başlatma takvimi ne de bir telafi çerçevesi yayımladı; kaybolan köprü teminatının nasıl geri yükleneceği açık değişken olarak duruyor.

Kaybın büyüklüğü hangi ölçütü kullandığınıza bağlı. Initia'nın ortak kurucusu, durdurma öncesinde köprüden çıkan tutarı ilk tahmininde yaklaşık 3 milyon dolar olarak verdi. Bitquery de rezerv tarafından aynı tabloya ulaştı: köprü rezervlerinden gerçekten ödenen varlık yaklaşık 3 milyon dolar, yetkisiz bakiyelerin nominal değeri ise yaklaşık 7 milyon dolar. Aradaki farkı mekanizma açıklıyor. Initia'da gösterilen tokenlar diğer zincirlerde tutulan varlıklarla desteklenen alacaklardır; bunları geri almak için ilgili rezervin dayanağı olan varlığı serbest bırakması gerekir. Saldırganın yetkisiz bakiyeleri, hiçbir eşleşen teminat yatırılmadan değerin çıkmasına izin verdi. Circle'ın kendi sınıflandırması olayı dar bir kutuya yerleştiriyor: köprülenmiş USDC, başka bir zincirde kilitli USDC ile desteklenen üçüncü taraf bir token; buna karşılık ana USDC, Circle tarafından ihraç edilip doğrudan dolarla itfa edilebilen token. Tek bir köprüdeki rezervin tükenmesi o köprünün çekimlerini bloke edebilir, ama ihraççının dolar karşılığına dair bir şey söylemez; o ayrı havuz, Circle'ın hazine ekibi tarafından birden çok tüzel yapıda yönetiliyor. Tartışmada Agora'nın AUSD'si de gündeme geldi, ancak AUSD'nin resmî hesabı Initia üzerinde hiçbir AUSD sözleşmesinin dağıtılmadığını ve orada AUSD basılmadığını bildirdi. Etkilenen, Ethereum üzerinde AUSD kullanan Agora tarafından işletilmeyen ayrı bir üçüncü taraf ürünüydü. Initia'nın kendi olay sonrası incelemesi, 24 Ekim güncellemesinde güvenlik doğrulamasını atlayan bir MoveVM betik önbellekleme hatasını kök neden olarak gösterdi. Saldırgan bu açığı teminatsız WETH, iUSD ve USDC bakiyeleri oluşturmak için kullandı; her üç varlığın toplam arzı ise değişmedi ve ağın yönetişim tokenı INIT de fazladan basılmadı. Arzların dokunulmamış olması, yetkisiz bakiyelerin meşru olanlardan ayırt edilmesini zorlaştırmış olabilir. 24 Ekim 08:46 UTC itibarıyla katman-1 ve rollup hâlâ durdurulmuş durumdaydı. Initia çözümün birkaç gün içinde tamamlanmasını, ardından bir denetim geleceğini ve varlık kurtarma çalışmalarının sürdüğünü belirtiyor; ama güncelleme ne doğrulanmış bir yeniden başlatma tarihi ne de telafi koşulları içeriyordu.

Kanıtın çizdiği çizgi keskin. Doğrulanmış olan: bir betik önbellekleme hatası, 63 dolarlık rezerv dibi, yaklaşık 3 milyon dolarlık ödeme ve dokunulmamış varlık arzları. İddia edilip henüz kanıtlanmamış olan: kurtarmanın ilerlediği ve çözümün günler içinde hazır olacağı. Kalan kuşkuyu kapatacak şey, tarihli bir yeniden başlatma ve köprü teminatını dolduracak fon kaynağının adıyla açıklanması; Initia ikisini de yayımlayana kadar, basılan tutarla çıkan tutar arasındaki yaklaşık 7 milyon dolarlık nominal fark izlenecek sayı olarak duruyor. Bugüne kadarki zincir üstü kayıtlarda bunun ihraççı düzeyinde bir USDC sorunu olarak değerlendirilmesini destekleyen hiçbir veri yok.