Initia、MoveVMスクリプトキャッシュエクスプロイトで270万ドルの損失を確認
TREE NEWS 報道： Initiaは10月23日のセキュリティインシデントに関するポストモーテムを公開し、攻撃者がMoveVMスクリプトキャッシュの脆弱性を悪用して安全チェックをバイパスし、裏付けのないWETH、iUSD、および米ドル建て資産を鋳造したことを確認した。偽造された状態により、攻撃者は残高を人為的に膨らませ、プロトコルが介入する前に約270万ドルを引き出した。
攻撃の経緯
調査によると、欠陥はInitiaのMoveVM実装のスクリプトキャッシュメカニズムに存在していた。キャッシュされたスクリプト状態を操作することで、攻撃者は通常、鋳造された資産が完全に担保されていることを保証する検証レイヤーを回避した。その結果は典型的な「偽の状態」エクスプロイトであった。システムが捏造された残高を正当なものとして受け入れ、攻撃者が流動性プールやブリッジコントラクトから価値を流出させることを可能にした。
このインシデントは、モジュラー型ブロックチェーンアーキテクチャにおいて繰り返し見られるテーマを浮き彫りにしている。すなわち、カスタム仮想マシンの実装とキャッシュレイヤーが、標準的な監査では必ずしもカバーされない攻撃対象領域を導入するという点である。MoveVM上に構築された相互接続型ロールアップエコシステムとして自らを位置づけるInitiaは現在、その最適化がコアの安全不変条件とどのように相互作用したかについて厳しい目にさらされている。
業界への影響
このエクスプロイトは、今日のDeFiランドスケープにおける3つの構造的リスクを強調している：
- VMレイヤーの複雑性：チェーンがフォークし実行環境をカスタマイズするにつれて、監査範囲は拡大する。パフォーマンスを目的としたキャッシュ最適化が、コンセンサスレベルの脆弱性になり得る。
- クロスアセット担保：裏付けのないWETHやステーブルコイン類似資産を鋳造することは、ブリッジやレンディング市場を支える信頼の前提を損なう。裏付けのない資産が流通すると、接続されたロールアップ全体のプールを汚染する可能性がある。
- インシデント対応の迅速性：損失をプロトコル全体の流出ではなく270万ドル近くに抑えられた能力は、監視と一時停止機能の成熟を反映しているが、そのような制御を分散化すべきかという疑問も提起する。
今後の展開
Initiaの開示は、VMレベルのコードの形式検証や、価値がシステムから流出する前に状態の異常を検知するリアルタイムの不変条件監視への需要を加速させる可能性が高い。より広範なモジュラーエコシステムにとって、この出来事は相互運用性が有用性と伝染性の両方を増幅することを思い出させる。一つの実行レイヤーの欠陥が共有流動性を通じて伝播する可能性がある。
投資家やビルダーは、スクリプトキャッシュの設計が再設計されるかどうか、影響を受けたユーザーが補償されるかどうかを含む詳細な修復計画に注目すべきである。このインシデントはまた、保険スタイルの補償や、カスタムVMの変更を対象とする厳格な監査基準の必要性を強めるかもしれない。これらは業界が歴史的に十分に投資してこなかった分野である。
