InitiaのエクスプロイトでUSDC準備金が63ドルまで減少、再開時期は未定

Initiaのインシデントでは、記録済みの事実と、まだ結論が出ていない事柄がはっきり分かれている。現地時間の10月23日(金曜日)、Initiaのブロックチェーンがハッキングを受けた。同日15時37分(UTC)までに、ネットワークの出金を支えていたUSDC準備金は約100万ドルから日中安値の63ドルまで落ち込んだ。準備金はNobleチェーン上に置かれており、オンチェーンデータによると18時52分(UTC)の再確認時点で残額は約2万4,000ドルだった。フロー追跡で最も詳細な公開調査を行ったオンチェーン分析企業のBitqueryは、停止までの時間帯にUSDCの出金試みが55回失敗したと数えている。大半は単一のボットが同一残高を繰り返し再送信したものだが、攻撃者自身の大口出金も、準備金が枯渇した後には一度失敗した。Initiaは同日15時41分30秒(UTC)、準備金の安値から4分後にレイヤー1とロールアップの双方を停止し、残り資金への取り付け騒ぎを止めた。攻撃者の経路も確定している。担保の裏付けがない不正残高を使ってブリッジプロトコルから価値を引き出し、これが一般利用者の出金経路を塞いだ。多くの利用者にとって影響は、枯渇した準備金に対して出金トランザクションが実行されなくなったことだった。Initiaのロールアップは共有レイヤー1上のアプチェーンとして稼働するため、基盤のブリッジ故障はネットワークが表示するすべてのトークンに波及する。USDCの価格はこの事件の変動要因ではない。障害はステーブルコインのドル裏付けではなく、ブリッジの管理層にある。未確定なのは停止後のすべてだ。Initiaは再開スケジュールも補償の枠組みも公表しておらず、失われたブリッジ担保をどう回復させるかが残された変数となっている。

損失の規模はどの指標を取るかで変わる。Initiaの共同創設者は当初、停止までにブリッジから流出した額を約300万ドルと見積もった。準備金側から検証したBitqueryも同水準に達しており、実資産の支払いは約300万ドル、不正残高の名目価値は約700万ドルとしている。仕組みを見ればこの差は説明がつく。Initia上に表示されるトークンは他チェーンに保管された資産で裏付けられた請求権であり、逆交換には対応する準備金が基礎資産を放出する必要がある。攻撃者の不正残高は、担保が一度も入金されないまま価値を出て行かせた。Circle自身の分類はこの事件を狭い枠に収める。ブリッジされたUSDCは第三者が発行するトークンで、別チェーンにロックされたUSDCが裏付けとなる一方、ネイティブUSDCはCircleが発行しドルと直接引き換えられる。一つのブリッジの準備金枯渇はそのブリッジの出金を止め得るが、発行体のドル裏付けについては何も語らない。ドル裏付けは複数の主体にまたがってCircleの資産管理チームが管理する別のプールだ。議論ではAgoraのAUSDも取り上げられたが、AUSDの公式アカウントはInitia上にAUSDコントラクトがデプロイされておらず、AUSDはそこでミントされていないと表明した。影響を受けたのはイーサリアム上でAUSDを使う別の第三者製品であり、Agora運営のものではない。Initia自身の事後分析は10月24日の更新で、セキュリティ検証を回避したMoveVMスクリプトのキャッシングバグを根本原因と特定した。攻撃者はこの欠陥を使い、担保なしのWETH、iUSD、USDC残高を作成した。ただし各資産の総供給量は変わらず、ガバナンストークンINITも追加ミントされていない。供給量が変化しなかったため、不正残高を正規のものと切り分けるのが難しかった可能性がある。10月24日8時46分(UTC)時点でレイヤー1とロールアップはなお停止中だ。Initiaは修正を数日以内に行い、その後に監査を挟み、資産回収を進めているとするが、この更新には確定した再開日も補償条件も含まれていなかった。

証拠が引く線は明確だ。確定済みなのは、スクリプトのキャッシングバグ、63ドルの準備金安値、約300万ドルの支払い、資産供給量が手つかずだったこと。主張されているがまだ証明されていないのは、回収が進行中であることと、修正が数日以内に完了することだ。残る疑問を解消するのは、日程の確定した再開と、ブリッジ担保を補填する資金の出所の明示である。Initiaが両方を公表するまで、作成された額と流出した額の間の約700万ドルの名目上の乖離が注視すべき数字であり続ける。これまでのオンチェーン記録には、これを発行体レベルのUSDC問題として扱う根拠は何もない。