اختراق Initia يُفرغ احتياطيات USDC إلى 63 دولارًا دون موعد لاستئناف الشبكة

الوقائع الموثقة في حادثة Initia تنفصل بوضوح عما لم تُحسم بعد. تعرضت البلوكتشين Initia لهجوم يوم الجمعة 23 أكتوبر (بتوقيت محلي)، وبحلول الساعة 15:37 بتوقيت غرينتش انهارت احتياطيات USDC التي تقف خلف عمليات السحب على الشبكة من نحو مليون دولار إلى قاع يومي عند 63 دولارًا فقط. كانت هذه الاحتياطيات محتفظًا بها على بلوكتشين Noble، وتُظهر بيانات السلسلة أن إعادة فحص أُجريت عند الساعة 18:52 بتوقيت غرينتش لم تجد سوى نحو 24,000 دولار متبقية. وشركة Bitquery المتخصصة في تحليل بيانات السلسلة، والقائمة على أوسع تتبع عام للتدفقات حتى الآن، حصت 55 محاولة سحب فاشلة لعملة USDC في النافذة الزمنية التي سبقت التوقف، ومعظمها جاء من بوت واحد أعاد إرسال رصيد مطابق مرارًا، فيما فشلت أيضًا عملية سحب أكبر نفّذها المهاجم نفسه بعد أن أصبح الاحتياطي فارغًا. وأوقفت Initia طبقتها الأولى ورفعة التطبيقات التابعة لها عند الساعة 15:41:30 بتوقيت غرينتش في اليوم نفسه، أي بعد أربع دقائق من وصول الاحتياطي إلى قاعه، بما أوقف الزحف على الأموال المتبقية. أما المسار الذي سلكه المهاجم فقد اتضح كذلك: أرصدة غير مصرح بها بلا أي ضمان خلفها استُخدمت لسحب القيمة من الجسر، وهو ما أغلق طريق السحب أمام المستخدمين العاديين، وكان الأثر بالنسبة لكثير منهم أن معاملات السحب توقفت عن التنفيذ أمام احتياطي مستنزف. تعمل رفوع Initia كشبكات مخصصة للتطبيق على طبقة أولى مشتركة، لذا فإن فشل بروتوكول الجسر في القاعدة يمس كل رمز تعرضه الشبكة. سعر USDC ليس المتغير المتحرك في هذه الحادثة؛ فالخلل يقع في طبقة الحفظ لدى بروتوكول الجسر، لا في الغطاء الدولاري للعملة المستقرة. ويبقى كل ما بعد التوقف مفتوحًا: لم تنشر Initia جدولًا لاستئناف التشغيل ولا إطارًا للتعويض، ما يجعل إعادة بناء ضمان الجسر المختفي هو المتغير غير المحسوم.

حجم الخسارة يختلف باختلاف طريقة القياس. قدّر شريك مؤسس في Initia أولًا المبلغ الذي خرج عبر الجسر قبل التوقف بنحو 3 ملايين دولار. ووصلت Bitquery، انطلاقًا من جانب الاحتياطيات، إلى الحدود ذاتها: نحو 3 ملايين دولار من الأصول الحقيقية صُرفت من احتياطيات الجسر، مقابل قيمة اسمية تبلغ نحو 7 ملايين دولار للأرصدة غير المصرح بها. وتفسّر الآلية الفارق بين الرقمين: الرموز المعروضة على Initia هي مطالبات مدعومة بأصول محتفظ بها على سلاسل أخرى، وعكسها يتطلب أن يُطلق الاحتياطي المقابل الأصل الأساسي، بينما سمحت الأرصدة غير المصرح بها للمهاجم بخروج القيمة دون إيداع أي ضمان مطابق أبدًا. أما تصنيف Circle نفسها فيضع الحادثة في إطار ضيق: عملة USDC الجسرية هي رمز من طرف ثالث مدعوم بوحدات USDC مقفلة على سلسلة أخرى، في حين أن USDC الأصلية تصدرها Circle وتُسترد مباشرة بالدولار. فاستنزاف احتياطي جسر بعينه قد يوقف سحوبات ذلك الجسر دون أن يقول شيئًا عن الغطاء الدولاري للمُصدر، وهو مجمع منفصل تديره فرقة الخزانة في Circle عبر عدة كيانات. وذهب النقاش أيضًا إلى AUSD التابعة لـAgora، لكن الحساب الرسمي لـAUSD أوضح أنه لم يُنشر أي عقد لـAUSD على Initia ولم تُسك أي وحدات منه هناك، وما تأثر كان منتجًا من طرف ثالث منفصل يستخدم AUSD على Ethereum، لا منتجًا تديره Agora. أما تقرير Initia بعد الحادثة، في تحديث نُشر يوم السبت 24 أكتوبر، فقد حدد خللًا في تخزين سكربت MoveVM مؤقتًا يتجاوز التحقق الأمني كسبب جذري. واستغل المهاجم الثغرة لإنشاء أرصدة من WETH وiUSD وUSDC بلا ضمان، مع بقاء الإمداد الكلي لكل أصل دون تغيير، ولم يُسك رمز الحكم INIT إضافيًا كذلك، وقد يكون ثبات الإمدادات هو ما جعل الأرصدة غير المصرح بها يصعب تمييزها عن الشرعية منها. وبحلول الساعة 08:46 بتوقيت غرينتش يوم 24 أكتوبر كانت الطبقة الأولى والرفوع لا تزال متوقفتين. وتتوقع Initia جاهزية الإصلاح خلال أيام، يليه تدقيق أمني، وتقول إن استرداد الأصول جارٍ، غير أن التحديث لم يتضمن تاريخ استئناف مؤكدًا ولا شروط تعويض.

يرسم الدليل خطًا دقيقًا بين المؤكد والمزعوم. المؤكد: خلل في التخزين المؤقت لسكربت، قاع احتياطي عند 63 دولارًا، نحو 3 ملايين دولار صُرفت، وإمدادات الأصول لم تمس. المزاعوم لكنه غير مبرهن: أن الاسترداد يتقدم وأن الإصلاح يبعد أيامًا. وما يحسم الشك المتبقي هو موعد استئناف بتاريخ محدد ومصدر معلن للأموال التي ستعيد تعبئة ضمان الجسر؛ وحتى تنشر Initia السبت، تبقى الفجوة النقدية البالغة نحو 7 ملايين دولار بينما أُنشئ وما خرج هي الرقم الذي ينبغي مراقبته. ولا شيء في سجل السلسلة حتى الآن يدعم التعامل مع الحادثة بوصفها مشكلة على مستوى مُصدر USDC نفسه.