Hininto ng Initia ang L1 at Rollups pagkatapos ng $2.7M na exploit sa minting

Hininto ni Initia ang paggawa ng mga block sa 15:41:30 UTC noong Oktubre 23, humigit-kumulang apatnapu’t dalawang minuto pagkatapos ng isang attacker na gumawa ng 2,000,000 AUSD mula sa wala at apatnapu’t apat na minuto pagkatapos ng pseudonymous na researcher na si Spreek na i-flag ang aktibidad sa-chain. Ang unang paalala ng proyekto ay tinawag itong “isang security incident” at hindi isinama ang anumang mekanismo. Ang mga mekanismo ay dumating sa mga piraso sa susunod na araw, at kasama nila ay naglalarawan ng isang bagay na mas maliit kaysa sa isang supply shock at mas malinaw kaysa sa isang karaniwang bug: isang hindi pinahintulutang mint na naging totoong pera sa sandaling maabot nito ang isang tulay.

Noong Okt 23, 2026, 3:41:30 PM UTC, ang Initia L1 at Rollups ay ipinahinga dahil sa isang security incident. Ang aming team ay aktibong nag-aaral ng sitwasyon at nagtatrabaho upang matukoy ang buong saklaw ng anumang epekto kasama ang mga security team, validators, at exchange. Magkakaroon kami ng ibabahagi na napatotohanang impormasyon sa aming opisyal na mga channel habang ito ay magiging available. Mangyaring manatiling mapanatika sa mga hindi opisyal na link, mensahe, o mga alegasyon na kumikilos sa panahong ito.

— Initia (@initia) October 23, 2026

Ang Initia ay isang layer-1 blockchain na binuo sa Cosmos SDK na nagtatampok ng isang network ng mga interconnected na rollup na tinatawag nitong Minitias. Ang paghinto ng base chain ay nagdudulot ng pag-offline ng buong constellation, hindi isang mag-isa aplikasyon. Ang unang pahayag ay hindi inilabas, ngunit ibinigay nang hiwalay ni co-founder Ezaan Mangalji. “Sa aming kaalaman hanggang sa ngayon, ito ay isang Day 0 bug na may kinalaman sa Initia’s MoveVM sa CosmosSDK na nagbigay-daan sa tagapag-exploit na mag-mint ng karagdagang tokens sa Initia L1 ngunit hindi ito nakakaapekto sa native INIT tokens,” siya ay isinulat, at idinagdag na ang attacker “ay nakakapag-mint at mag-bridge out ng halos $2.7m na halaga ng AUSD, ETH, at USDC bago ipa-stop ang chain.” Ang unang pagsasaayos ay mahalaga. Hindi pa naglathala ang Initia ng post-mortem, at ang opisyal na account nito ay hindi pa nag-verify ng huling bilang ng pagkawala.

Ang MoveVM ay ang virtual machine na nagpapatakbo ng mga smart contract sa Initia. Ang isang Day-0 bug ay isang bug na ipinadala sa orihinal na deployment, at ang panimulang diagnosis ng co-founder ay nasa implementasyon ng Initia ng MoveVM sa Cosmos SDK. Ang exploit na ito ay nagbigay-daan sa pag-mint — paglikha ng mga balanse ng token nang walang pahintulot na karaniwang nangyayari bago ang paglabas. Ang mga bagay na hindi naapektuhan ng bug ay mahalaga tulad ng mga naapektuhan. Ang mga native na INIT token ay nasa labas ng sakop ng exploit, kaya hindi ito nagdulot ng pagtaas sa suplay ng sariling token ng chain.

Ang hangganan na ito ang naghihiwalay sa ito mula sa pinakamasamang pagbasa ng isang hindi awtorisadong mint. Isang attacker na nagpaprint ng native token ay nagdilute sa lahat ng holder nang sabay-sabay, nang tahimik. Isang attacker na nagpaprint ng bridged na mga representasyon ng iba pang assets — AUSD, ETH at USDC, ayon sa listahan ng co-founder — ay may limitasyon sa totoong collateral na nakaupo sa likod ng mga representasyong ito. Ang dalawang bilang ng pagkawala na umiikot sa unang araw ay ipinapakita kung gaano kalakas ang paggalaw ng limitasyong ito. Ang maagang pagtataya ni Spreek ay isinama ang cash-out sa $2.6 milyon habang ang mga pag-transfer ay patuloy pa; ang huling bilang ng co-founder ay “~$2.7m.” Ang halos $100,000 na puwang ay ang pera na patuloy na gumagalaw pagkatapos ng unang ulat.

Ang trail ng transaksyon, na decoded ng analytics firm na D2 Finance, ay nagsisimula sa isang single na sinagip na transaksyon sa 14:59:26 UTC na nag-mint ng 2,000,000 AUSD sa side ng Initia. Isang daan at limampu’t tatlo segundo pagkatapos, isang LayerZero message ay naglabas ng 1.4 milyong tunay na AUSD mula sa Ethereum-side adapter; sumunod ang 105 ETH sa 15:06:47 UTC, at karagdagang 1.08 milyong USDC ay dumating sa Ethereum bilang bagong mint sa pamamagitan ng Circle’s CCTP. Ayon sa mga timestamp ng D2 Finance, bumalik ang $2.65 milyon sa Ethereum sa loob ng 7 minuto at 21 segundo pagkatapos ng mint — isang rate ng pag-extract na humigit-kumulang $6,000 bawat segundo sa buong panahon.

Ang mekanismo ay ang bahagi na kailangang ipaliwanag ng post-mortem. Ang mga naka-bridge na asset ni Initia ay nasa likod ng OFT adapters, mga lockbox contracts na nagtatago ng totoong token at naglalabas nito kapag ang katumbas na balance sa Initia-side ay na-burn. Ang isang adapter ay maaaring i-verify na na-burn ang mga token; hindi naman ito, ayon sa pagsasalita ni D2 Finance, “makakapag-check kung kailanman ay sinuportahan ang mga na-burn na token.” Kaya naman, ang attacker ay gumawa ng isang hindi sinuportahang klaim, in-burn ito, at kinuha ang totoong collateral. Tandaan din ni D2 Finance na ang isang rollback na magtatanggal ng mga pag-burn ay hindi magtatanggal ng mga paglalabas, kaya nananatiling bukas ang tanong kung paano gagawing muling buo ang sitwasyon. Ang pagkabigo sa pagitan ng bridge at backing ay nagsanhi na ng litigation sa ecosystem na ito, kabilang ang $292 million rsETH dispute sa pagitan ng Kelp DAO at LayerZero.

Ang pinakamalalim na sagot ay mula sa Agora, ang tagapaglabas ng stablecoin na AUSD. “Walang smart contract na inilalabas ng Agora sa Initia,” sinulat ng kumpanya. “Ang aming security team ay nagmomonitor sa sitwasyon at magpapahinga ng mga pera na may kaugnayan sa mga address ng hacker na may AUSD sa mga chain kung деployed ang AUSD/Agora smart contract.” Ang pahayag ay naghihiwalay sa tagapaglabas mula sa exploit at, sa parehong pagkakataon, nagpapatotoo na ang 2 milyong “AUSD” na minted sa Initia ay hindi totoo ang token ng Agora.

Iyon ang pangunahing tensyon ng artikulo. Maaaring basahin ang isang ticker bilang “AUSD” sa dalawang chains at ibigay ang dalawang iba’t ibang kahulugan — ang native na paglabas ng Agora sa isang chain, at ang bridged na representasyon nito sa isa pang chain. Ang attacker ay nagmaneho sa pangalawa. Ang pagpapakatotoo ng Agora ay na kaya pa niyang i-freeze ang mga pondo sa mga chain kung saan nakatira ang mga totoong contract nito; ang natitirang panganib ay na ang bridged na representasyon ay sinuportahan ng totoong AUSD na nakakulong sa lockbox ng adapter, at ang totoong AUSD ay naka-move na. Ang mga network na batay sa Cosmos ay nakakita na ng ganitong pagkabigo dati. Noong Oktubre, hiniling ng Cosmos Labs na ipagpahinga ang mga EVM chains pagkatapos ng KiiChain’s $148 million exploit, isang tanda na ang mga attack na mint-and-bridge ay naging paulit-ulit na anyo ng pagkabigo sa buong ecosystem kaysa isang isang-segundo lang na bug.

Ang isang buong chain halt ay ang pinakamadaling instrumento na mayroon ang isang network, at ginamit ito ng Initia nang may layunin. Ang paghinto sa consensus ay nagpapigil sa attacker na mag-mint at mag-bridge ng karagdagang mga asset, ngunit ito ay nagpapahinto rin sa bawat legal na user, application, at validator sa network. Ang tawag-tawag na ito ay may sensibilidad lamang kung tinaya ng team na ang exploit ay magpapatuloy na magdudulot ng pagbaba ng pera, na ang maagang pahayag na “patuloy pa ring gumagalaw ang mga pondo” ay nagpapahiwatig na ganito ang kaso.

Binasa ng merkado ang insidente bilang naka-limita. Ang INIT, ang native token, bumaba hanggang sa halos $0.115 noong Oktubre 23 bago bumalik sa itaas ng $0.15, ayon sa datos ng CoinGecko — isang tugon na tugma sa isang pinagbawalan, hindi dilutibong exploit kaysa sa isang supply shock. Ang naiiwan na bukas ay operasyonal. Hindi pa nagtakda ang Initia ng petsa ng pagpapalit, at ang opisyal na account nito ay hindi pa nag-verify ng kabuuang pagkawala o tiyak na teknikal na sanhi. Patuloy pa ring naka-halt ang chain higit sa anim na oras pagkatapos ng insidente, nakapikit sa block height 23365925.

Ano ang dapat subaylan ay prosedyural kaysa spekulatibo. Sabi ni Initia na ipapamahagi nila ang mga napatunayang impormasyon sa kanilang opisyal mga channel, at ang post-mortem na naglalabas ng eksaktong MoveVM flaw at ang make-whole plan ay ang susunod na tunay na signal. Hanggang sa noon, ang mga napatunayang katotohanan ay mas limitado kaysa sa mga umiiral na bilang: isang chain ay hininto, ang pansamantalang diagnosis ng isang co-founder ay tumutukoy sa isang Day-0 MoveVM bug, at humigit-kumulang $2.7 milyon sa mga bridged assets ang umalis para sa Ethereum bago makapag-pause ang network.