Initia遭攻击USDC储备跌至63美元 重启时间未定

Initia事件中,已被链上记录证实的部分与尚无结论的部分泾渭分明。当地时间10月23日星期五,Initia区块链遭遇攻击,到当天15:37(UTC),支撑该网络提款业务的USDC储备从约100万美元骤降至日内低点63美元。这些储备存放在Noble区块链上,链上数据显示,18:52(UTC)复核时仅剩约2.4万美元。链上分析机构Bitquery对资金流向做了迄今最完整的公开追踪,统计到停链前共有55笔USDC提款失败,其中多数来自同一个机器人反复提交相同的余额;攻击者自己那笔更大的提款也在储备耗尽后失败。Initia于同日15:41:30(UTC)暂停了第一层网络和rollup,距储备触及低点仅四分钟,从而阻止了对剩余资金的挤兑。攻击者的路径同样已被查明:其在没有任何抵押品的情况下动用了未授权余额,从跨链桥协议中抽走价值,这一举动封死了普通用户的提款通道,对许多用户而言,结果就是提款交易在耗尽的储备面前无法执行。Initia的rollup以应用链形式运行在共享的第一层网络上,因此底层跨链桥失守会波及网络展示的每一种代币。此次事件中USDC价格并非变动变量,问题出在跨链桥协议的托管层,而不是稳定币的美元支撑。停链之后的一切仍是未知数:Initia尚未公布重启时间表,也没有赔偿框架,如何补回消失的桥抵押品是悬而未决的变量。

损失规模取决于采用哪种口径。Initia联合创始人最初估计,停链前经由跨链桥流出的金额约为300万美元。Bitquery从储备端出发得出同一量级的结论:桥储备实际付出约300万美元,而未授权余额的票面价值约为700万美元。机制可以解释这一差额。Initia上展示的代币是其他链上资产支撑的凭证,反向兑换需要相应储备释放底层资产;攻击者的未授权余额让价值在没有对应抵押品入账的情况下流出。Circle自身的分类把这一事件框得很窄:桥接型USDC是由锁定在另一条链上的USDC支撑的第三方代币,而原生USDC由Circle发行、可直接兑换美元。单一跨链桥储备枯竭可以阻断该桥的提款,但不能说明发行方的美元支撑出了问题,后者是由Circle资金管理团队在多个实体间管理的独立资金池。讨论中还提到了Agora的AUSD,但AUSD官方账号声明,Initia上没有部署任何AUSD合约,也没有铸造过AUSD,受影响的是以太坊上一个使用AUSD的第三方产品,并非Agora运营的产品。Initia自己在10月24日更新的复盘报告将根本原因归于一个绕过安全校验的MoveVM脚本缓存漏洞。攻击者利用该缺陷创造了无抵押的WETH、iUSD和USDC余额,不过各项资产的总供应量均未变化,网络治理代币INIT也没有被额外增发;供应量不变可能使未授权余额难以与正常余额区分。截至10月24日08:46(UTC),第一层网络和rollup仍处于暂停状态。Initia预计数日内完成修复,随后进行审计,并表示资产追回工作正在进行,但该更新没有给出确认的重启日期,也没有赔偿条款。

证据划出的界线很精确。已确认的事实有:一个脚本缓存漏洞、63美元的储备低点、约300万美元实际流出,以及资产供应量未受影响。已声明但尚未证实的是:追回工作在推进、修复将在数日内完成。能消解剩余疑问的,是带日期的重启安排和明确指认的桥抵押品回补资金来源;在Initia公布这两项之前,未授权余额票面价值700万美元与实际流出约300万美元之间的缺口,就是最值得盯住的数字。迄今没有任何链上记录支持把这件事当作发行方层面的USDC问题来对待。