Initia bị khai thác 2,7 triệu USD qua lỗ hổng bộ nhớ đệm script MoveVM
TREE NEWS đưa tin: Initia, một mạng blockchain Layer 1 tập trung vào modular rollup, đã công bố một vụ xâm phạm bảo mật dẫn đến việc đánh cắp khoảng 2,7 triệu USD tài sản số. Cuộc tấn công xảy ra lúc 22:59 giờ Bắc Kinh ngày 23 tháng 10, khai thác lỗ hổng trong cơ chế lưu bộ nhớ đệm script MoveVM của Initia, cho phép kẻ tấn công vượt qua các kiểm tra bảo mật và làm giả trạng thái máy ảo.
Theo tuyên bố chính thức của giao thức, kẻ tấn công đã khai thác lỗ hổng để tạo ra các token WETH, iUSD và USDC trong tài khoản của mình mà không thay đổi tổng nguồn cung token—nghĩa là các tài sản này không có bảo chứng thực tế. Token gốc INIT không bị đúc, và tổng nguồn cung của nó vẫn không bị ảnh hưởng. Trước khi mạng bị tạm dừng, kẻ tấn công đã cầu nối ra ngoài khoảng 2,7 triệu USD tài sản, bao gồm 105 WETH, khoảng 1,4 triệu AUSD0 và 1,08 triệu USDC, thông qua các kênh xuyên chuỗi như LayerZero, Noble và CCTP. Tài sản bị đánh cắp sau đó được hoán đổi thành 1.135,52 ETH và hiện đang được giữ tại một địa chỉ trên mạng chính Ethereum.
Phân tích kỹ thuật và phản ứng tức thời
Vụ khai thác làm nổi bật điểm yếu nghiêm trọng trong tương tác giữa bộ nhớ đệm script của MoveVM và việc xác thực trạng thái. Bằng cách làm giả trạng thái máy ảo, kẻ tấn công có thể lừa hệ thống chấp nhận số dư token không hợp lệ. Initia đã tạm dừng cả mạng L1 và rollup trong khi tiến hành sửa lỗi, dự kiến hoàn thành trong vài ngày cùng với một cuộc kiểm toán bảo mật. Nhóm cũng đang phối hợp với các đối tác bảo mật để thu hồi tài sản.
Sự cố này nhấn mạnh những rủi ro thường trực trong hạ tầng xuyên chuỗi và sự phức tạp của việc đảm bảo tính toàn vẹn trạng thái trong kiến trúc blockchain mô-đun. Việc sử dụng nhiều giao thức cầu nối (LayerZero, Noble, CCTP) để tuồn tiền ra ngoài cho thấy cách kẻ tấn công có thể nhanh chóng di chuyển tài sản qua các hệ sinh thái, làm phức tạp nỗ lực thu hồi.
Hàm ý ngành và triển vọng phía trước
Vụ khai thác Initia là lời nhắc nhở rằng ngay cả những máy ảo vững chắc như MoveVM cũng có thể chứa những lỗ hổng tinh vi trong lưu bộ nhớ đệm và quản lý trạng thái. Khi các mạng blockchain mô-đun và liên kết với nhau gia tăng, bề mặt tấn công mở rộng, đặc biệt tại các điểm giao thoa giữa giao tiếp xuyên chuỗi và thực thi hợp đồng thông minh.
Đối với Initia, những ngày tới sẽ rất quan trọng: nhóm không chỉ phải vá lỗ hổng mà còn khôi phục niềm tin của người dùng và nhà đầu tư. Quá trình thu hồi tài sản, phụ thuộc vào sự hợp tác với các công ty bảo mật và có thể cả cơ quan thực thi pháp luật, có thể kéo dài. Sự cố cũng đặt ra câu hỏi về tính đầy đủ của các cuộc kiểm toán bảo mật cho các triển khai VM mới và nhu cầu giám sát thời gian thực các sự kiện đúc bất thường.
Nhà đầu tư và người dùng nên theo dõi các kênh chính thức của Initia để biết lịch trình khởi động lại mạng và chi tiết kế hoạch khắc phục. Hệ sinh thái DeFi và xuyên chuỗi rộng lớn hơn có thể sẽ chứng kiến sự giám sát gia tăng đối với cơ chế lưu bộ nhớ đệm script và quy trình xác thực trạng thái, có khả năng dẫn đến các tiêu chuẩn kiểm toán nghiêm ngặt hơn cho các chuỗi dựa trên Move.
