ইনিশিয়া $2.7M মিন্ট দুর্নীতির পর L1 এবং রোলআপস বন্ধ করে দেয়

২৩ অক্টোবর, ইউটিসি ১৫:৪১:৩০-এ ইনিশিয়া ব্লক উৎপাদন বন্ধ করে দেয়, যা একজন আক্রমণকারী ২,০০০,০০০ AUSD শূন্য থেকে মিন্ট করার প্রায় চল্লিশ দুই মিনিট পরে এবং প্রতিনিধিত্বহীন গবেষক স্প্রিক অনলাইনে এই কার্যকলাপ চিহ্নিত করার চৌদ্দ মিনিট পরে। প্রকল্পটির প্রথম বিজ্ঞপ্তিতে এটিকে “একটি সুরক্ষা ঘটনা” বলা হয়েছিল এবং কোনও মেকানিকসের নাম উল্লেখ করা হয়নি। পরবর্তী দিনের মধ্যে এই মেকানিকসগুলি টুকরো টুকরো করে আসে, এবং একসাথে এগুলি একটি সরবরাহের শকের চেয়ে সংকীর্ণ এবং একটি সাধারণ বাগের চেয়ে তীক্ষ্ণতর কিছু—একটি অননুমোদিত মিন্ট—যা একটি ব্রিজের সাথে স্পর্শ করার মুহূর্তেই বাস্তব অর্থে পরিণত হয়।

2026 সালের 23 অক্টোবর, সকাল 3:41:30 এসইউটিসি পর্যন্ত, একটি নিরাপত্তা ঘটনার কারণে ইনিশিয়া L1 এবং রোলআপস বন্ধ করে দেওয়া হয়েছে। আমাদের দল এই পরিস্থিতি নিয়ে সক্রিয়ভাবে তদন্ত করছে এবং নিরাপত্তা দল, ভ্যালিডেটর এবং এক্সচেঞ্জগুলির সাথে কাজ করে কোনও প্রভাবের পুরো পরিসর নির্ধারণের চেষ্টা করছে। যখনই যাচাইকৃত তথ্য উপলব্ধ হবে, আমরা আমাদের অফিসিয়াল চ্যানেলগুলির মাধ্যমে তা শেয়ার করব। এই সময়ে প্রচলিত অফিসিয়াল নয় এমন লিঙ্ক, 메সেজ বা দাবির প্রতি সতর্ক থাকুন।

— Initia (@initia) October 23, 2026

ইনিশিয়া হল কসমস এসডিকে-এর উপর তৈরি একটি লেয়ার-1 ব্লকচেইন যা এটি মিনিটিয়াস নামে ডাকে এমন পরস্পর সংযুক্ত রোলআপগুলির একটি নেটওয়ার্ককে হোস্ট করে। তাই বেস চেইনের বন্ধ হওয়া শুধুমাত্র একটি অ্যাপ্লিকেশনকে নয়, সমগ্র কনস্টেলেশনকে অফলাইন করে দেয়। প্রথম নোটিশটি যা গোপন রাখা হয়েছিল, তা সহ-প্রতিষ্ঠাতা এজান মাঙ্গালজি আলাদাভাবে প্রদান করেন। “আমাদের এখনও যা জানা গিয়েছে, এটি Initia-এর CosmosSDK-এর উপর ভিত্তি করে তৈরি MoveVM-এর একটি ডে 0 বাগ, যা দ্বারা দুর্নীতিকারী Initia L1-এর উপরে অতিরিক্ত টোকেন minting-এর সুযোগ পেয়েছিল, কিন্তু এটি native INIT টোকেনগুলির জন্য প্রযোজ্য নয়,” তিনি লিখেছেন, যোগ করেছেন যে আক্রমণকারী “চেইনটি বন্ধ হওয়ার আগে ~$2.7m-এর AUSD, ETH, এবং USDC minting-এর পরে bridge out-এর সক্ষমতা অর্জন করেছিল।” শুরুর প্রশ্নটি গুরুত্বপূর্ণ। Initia এখনও পোস্ট-মর্টেম প্রকাশ করেনি,এবং তাদের অফিসিয়াল অ্যাকাউন্টও চূড়ান্তক্ষতির পরিমাণকে নিশ্চিত করেনি।

মুভভিএম হল স্মার্ট চুক্তি চালানোর জন্য ইনিশিয়ায় ব্যবহৃত ভার্চুয়াল মেশিন। একটি ডে-0 বাগ হল মূল ডিপ্লয়মেন্টের সাথে পাঠানো বাগ, এবং সহ-প্রতিষ্ঠাতার প্রাথমিক নির্ণয় এটিকে কসমস এসডিকে-এ ইনিশিয়ার মুভভিএম বাস্তবায়নের ভিতরে স্থান দেয়। এটি সক্ষম করা হয়েছিল মিন্টিং — সাধারণত প্রকাশের আগে প্রয়োজনীয় অনুমতি ছাড়াই টোকেন ব্যালেন্স তৈরি। বাগটি যা স্পর্শ করেনি, তা যা স্পর্শ করেছে তার চেয়ে এতটাই গুরুত্বপূর্ণ। নেটিভ INIT টোকেনগুলি এক্সপ্লয়িটের পরিধির বাইরে ছিল, তাই ঘটনাটি চেইনের নিজস্ব টোকেনের সরবরাহকে বাড়ায়নি।

এই সীমানা অননুমোদিত মিন্টের সবচেয়ে খারাপ পাঠ থেকে এটিকে পৃথক করে। একজন আক্রমণকারী যদি নেটিভ টোকেন মুদ্রণ করে, তাহলে সব হোল্ডারকে একসাথে, চুপচাপ বিক্ষিপ্ত করে। অন্যান্য সম্পদের ব্রিজড প্রতিনিধিত্ব — AUSD, ETH এবং USDC, যেমনটি সহ-প্রতিষ্ঠাতা উল্লেখ করেছেন — মুদ্রণ করলে, এই প্রতিনিধিত্বগুলির পিছনে বিদ্যমান বাস্তব প্রতিজামীর দ্বারা এটি সীমাবদ্ধ। প্রথম দিনে প্রচলিত দুটি ক্ষতির পরিমাণ দেখায় এই সীমাবদ্ধতা কতটা দ্রুত কাজ করেছে। স্প্রিকের প্রাথমিক অনুমানে ট্রান্সফারগুলি এখনও চলার সময় $2.6 মিলিয়নেরও বেশি নগদ উত্তোলনের কথা বলা হয়েছিল; সহ-প্রতিষ্ঠাতার পরবর্তী সংখ্যা “~$2.7m”।প্রায় $100,000-এর ফারাকটি হলো প্রথম প্রতিবেদনের পরও চলতে থাকা টাকা।

বিশ্লেষণ প্রতিষ্ঠান D2 Finance দ্বারা ডিকোড করা লেনদেনের পথটি 14:59:26 UTC-এ শুরু হয়, যেখানে ইনিশিয়া পাশে 2,000,000 AUSD মিন্ট করা হয়। একশো তিনটি সেকেন্ড পরে, লেয়ারজিরো বার্তা ইথেরিয়াম-পাশের অ্যাডাপ্টার থেকে 1.4 মিলিয়ন বাস্তব AUSD মুক্ত করে; 15:06:47 UTC-এ 105 ETH আসে, এবং সার্কেলের CCTP-এর মাধ্যমে ইথেরিয়ামে আরও 1.08 মিলিয়ন USDC নতুনভাবে মিন্ট হয়। D2 Finance-এর টাইমস্ট্যাম্প অনুযায়ী, মিন্টের 7 মিনিট 21 সেকেন্ডের মধ্যেই $2.65 মিলিয়ন ইথেরিয়ামে ফিরে আসে — এই সময়কালে প্রায় $6,000 প্রতি সেকেন্ডের হারে এক্সট্র্যাকশন ঘটে।

এই প্রক্রিয়াটি একটি পোস্ট-মর্টেমের দ্বারা ব্যাখ্যা করতে হবে। ইনিশিয়ার ব্রিজড সম্পদগুলি OFT অ্যাডাপ্টারের পিছনে অবস্থিত, যেগুলি লকবক কনট্রাক্ট যা বাস্তব টোকেন ধারণ করে এবং সংশ্লিষ্ট ইনিশিয়া-পাশের ব্যালেন্স বার্ন হওয়ার সময় এগুলি মুক্তি দেয়। একটি অ্যাডাপ্টার যাচাই করতে পারে যে টোকেনগুলি বার্ন হয়েছে; তবে D2 Finance-এর ব্যাখ্যায়, এটি “বার্ন করা টোকেনগুলি কখনও ব্যাকড হয়েছিল কিনা” তা “পরীক্ষা” করতে পারে না। অতএব, আক্রমণকারী একটি অব্যাকড দাবি মিন্ট করেছিল, এটি বার্ন করেছিল এবং বাস্তব কল্যাণ সংগ্রহ করেছিল। D2 Finance-এরও উল্লেখ করা হয়েছে যে, বার্নগুলি মুছে ফেলার জন্য একটি রোলব্যাকও মুক্তির কথা মুছে ফেলবে না, যার কারণে “মেক-উহোল” প্রশ্নটি এখনও খোলা। ব্রিজ-বনাম-ব্যাকিং-এর ব্যর্থতা ইতিমধ্যেই এই বাস্তুতন্ত্রের মধ্যে $292 million rsETH dispute (Kelp DAO এবং LayerZero-এর মধ্যকার)সহ,বিবাদেরও সৃষ্টি করেছে।

AUSD স্টেবলকয়েনের প্রকাশক অ্যাগোরা থেকেই সবচেয়ে তীক্ষ্ণ প্রতিক্রিয়া আসে। “অ্যাগোরার কোনো স্মার্ট চুক্তি Initia-এ ডিপ্লয় করা হয়নি,” কোম্পানিটি লিখেছে। “আমাদের সিকিউরিটি টিম পরিস্থিতি পর্যবেক্ষণ করছে এবং AUSD/Agora স্মার্ট চুক্তি ডিপ্লয় করা চেইনগুলিতে AUSD ধারণকারী হ্যাকার ঠিকানাগুলির সঙ্গে সম্পর্কিত ফান্ডগুলি ফ্রিজ করবে।” বিবৃতিটি প্রকাশককে দুর্ঘটনা থেকে দূরে রাখে এবং একইসঙ্গে নিশ্চিত করে যে Initia-এ মিন্ট করা 2 মিলিয়ন “AUSD” কখনও Agora-এর নিজস্ব টোকেন ছিল না।

এটিই নিবন্ধটির কেন্দ্রীয় সংঘাত। একটি টিকার দুটি চেইনে “AUSD” হিসাবে পড়তে পারে এবং একটি চেইনে Agora-এর নিজস্ব নির্গমন, অন্যটির জন্য এর ব্রিজড প্রতিনিধিত্ব বোঝাতে পারে। আক্রমণকারী দ্বিতীয়টির সুযোগ নিয়েছিল। Agora-এর নিশ্চয়তা হল যে এটি তার প্রকৃত চুক্তিগুলি যে চেইনগুলিতে রয়েছে, সেখানে ফান্ডগুলি জমা রাখতে পারে; অবশিষ্ট ঝুঁকি হল যে ব্রিজড প্রতিনিধিত্বটি অ্যাডাপ্টারের লকবক্সে সংরক্ষিত প্রকৃত AUSD দ্বারা সমর্থিত ছিল, এবং সেই প্রকৃত AUSD-টি ইতিমধ্যেই সরে গেছে। Cosmos-ভিত্তিক নেটওয়ার্কগুলির এই ব্যর্থতা আগেও দেখা গেছে। অক্টোবরে, Cosmos Labs KiiChain-এর $148 million exploit-এর পর EVM চেইনগুলিকে বন্ধ করার আহ্বান জানিয়েছিল, যা মিন্ট-এন্ড-ব্রিজ আক্রমণগুলির বাস্তুতন্ত্রজুড়েই একটি পুনরাবৃত্তিরূপের ব্যর্থতা হয়ে উঠেছে, একটি এককবারের বাগ নয়।

একটি পূর্ণ চেইন হ্যাল্ট হল একটি নেটওয়ার্কের সবচেয়ে কার্যকরী হাতিয়ার, এবং ইনিশিয়া এটি ইচ্ছাকৃতভাবে ব্যবহার করেছে। কনসেনসাস বন্ধ করে আক্রমণকারীকে আরও মিন্ট এবং ব্রিজ করতে বাধা দেওয়া হয়, কিন্তু এটি নেটওয়ার্কের প্রতিটি বৈধ ব্যবহারকারী, অ্যাপ্লিকেশন এবং ভ্যালিডেটরকেও ফ্রিজ করে দেয়। এই ট্রেড-অফটি শুধুমাত্র তখনই যুক্তিসঙ্গত যখন টিমটি মনে করেছিল যে এক্সপ্লয়িটটি ফান্ডস চলতেই থাকবে, যা “ফান্ডস এখনও চলছে” বলা থেকেই বোঝা যায়।

প্রতিটি ঘটনাটি প্রতিরোধযোগ্য হিসাবে বাজার বুঝেছে। INIT, নেটিভ টোকেন, কয়েনজেকো ডেটা অনুযায়ী ২৩ অক্টোবরে প্রায় $0.115-এ নেমে যায় এবং তারপর $0.15-এর উপরে ফিরে আসে — যা একটি সীমাবদ্ধ, অ-বিক্রয়-বিক্ষিপ্ত দুর্বলতা এবং সরবরাহ শকের প্রতিক্রিয়ার সাথে সঙ্গতিপূর্ণ। যা এখনও খোলা রয়েছে, তা হলো অপারেশনাল। ইনিশিয়া এখনও পুনরায় শুরুর তারিখ নির্ধারণ করেননি, এবং তাদের অফিসিয়াল অ্যাকাউন্টও চূড়ান্ত ক্ষতির পরিমাণ বা নির্দিষ্ট প্রযুক্তিগত কারণটি নিশ্চিত করেননি। ঘটনার পরেও চেইনটি ছয় ঘণ্টারও বেশি সময় ধরে বন্ধ ছিল, ২৩৩৬৫৯২৫-এ ব্লক হাইটে আটকে ছিল।

পরবর্তী যা দেখার মতো, তা প্রক্রিয়াগত, অনুমানমূলক নয়। ইনিশিয়া বলেছে যে এটি তার অফিসিয়াল চ্যানেলের মাধ্যমে যাচাইকৃত তথ্য শেয়ার করবে, এবং সঠিক MoveVM ত্রুটি এবং মেক-উহোল পরিকল্পনা উল্লেখ করে একটি পোস্ট-মর্টেমই পরবর্তী প্রকৃত সংকেত। এর আগপর্যন্ত, নিশ্চিত তথ্যগুলি প্রচলিত সংখ্যার চেয়ে সংকীর্ণ: একটি চেইন বন্ধ হয়েছিল, একজন সহ-প্রতিষ্ঠাতার প্রাথমিক নির্ণয় একটি ডে-0 MoveVM বাগের দিকে ইঙ্গিত করেছিল, এবং নেটওয়ার্কটি বন্ধ করার আগে ইথেরিয়ামের জন্য প্রায় 2.7 মিলিয়ন ডলারের ব্রিজড সম্পদ চলে গিয়েছিল।