इनिशिया ने $2.7M मिंट एक्सप्लॉइट के बाद L1 और रोलअप्स को रोक दिया

15:41:30 UTC को 23 अक्टूबर को, एक हमलावर ने बिना किसी आधार के 2,000,000 AUSD जारी करने के लगभग चालीस दो मिनट बाद और प्रकाश्य शोधकर्ता Spreek द्वारा ऑन-चेन गतिविधि को चिह्नित करने के चौदह मिनट बाद, Initia ने ब्लॉक उत्पादन बंद कर दिया। प्रोजेक्ट की पहली घोषणा इसे “एक सुरक्षा घटना” कहती है और किसी भी तंत्र का नाम नहीं लेती है। अगले दिन ये तंत्र टुकड़ों में सामने आए, और एक साथ वे किसी सप्लाई शॉक से संकीर्ण और एक सामान्य बग से अधिक तीव्र कुछ का वर्णन करते हैं: एक अनधिकृत मिंट, जो एक सेतु को स्पर्श करते ही वास्तविक पैसा बन गया।

23 अक्टूबर, 2026, 3:41:30 बजे UTC तक, सुरक्षा घटना के कारण Initia L1 और Rollups को रोक दिया गया है। हमारी टीम स्थिति की जांच कर रही है और सुरक्षा टीमों, वैलिडेटर्स और एक्सचेंज के साथ किसी भी प्रभाव के पूर्ण पैमाने को स्थापित करने पर काम कर रही है। हम जैसे ही जानकारी उपलब्ध होगी, उसे हमारे आधिकारिक चैनलों के माध्यम से साझा करेंगे। कृपया इस समय प्रचलित अनौपचारिक लिंक्स, संदेशों या दावों के प्रति सावधान रहें।

— Initia (@initia) 23 अक्टूबर, 2026

Initia, Cosmos SDK पर बनाया गया एक लेयर-1 ब्लॉकचेन है जो Minitias कहलाने वाले एक अंतर्संबंधित रोलअप्स के नेटवर्क की मेजबानी करता है। इसलिए, बेस चेन का रुकना पूरे संगठन को ऑफ़लाइन कर देता है, किसी एक एप्लिकेशन को नहीं। पहली घोषणा में जो छिपाया गया, उसे सह-संस्थापक एज़ान मंगलजी ने अलग से प्रदान किया। “हमारे जाने तक, यह Initia के CosmosSDK पर MoveVM से संबंधित एक डे 0 बग है, जिसने हमलावर को Initia L1 पर अतिरिक्त टोकन मिंट करने की अनुमति दी, लेकिन यह मूल INIT टोकन पर लागू नहीं होता,” उन्होंने लिखा, और यह भी जोड़ा कि हमलावर “चेन को पॉज़ किए जाने से पहले ~$2.7 मिलियन के AUSD, ETH, और USDC को मिंट करके ब्रिज करने में सक्षम था।” प्रारंभिक प्रतिबंधक महत्वपूर्ण है। Initia ने अभी तक कोई पोस्ट-मॉर्टम प्रकाशित नहीं किया है, और इसकी आधिकारिक खाता ने कोई अंतिम हानि का आंकड़ा सत्यापित नहीं किया है।

MoveVM, Initia पर स्मार्ट कॉन्ट्रैक्ट्स को निष्पादित करने वाली वर्चुअल मशीन है। एक डे-0 बग वह होता है जो मूल डिप्लॉयमेंट में शिप किया गया था, और सह-संस्थापक के प्रारंभिक निदान के अनुसार, यह Initia के Cosmos SDK पर MoveVM के कार्यान्वयन के भीतर स्थित है। इसके द्वारा सक्षम किया गया दुरुपयोग था — मिंटिंग, यानी सामान्यतः जारी करने से पहले आवश्यक अनुमति के बिना टोकन बैलेंस बनाना। जो चीज़ें इस बग से छूई नहीं गईं, वे उतनी ही महत्वपूर्ण हैं जितनी जो छूईं। मूल INIT टोकन दुरुपयोग की पहुँच से बाहर थे, इसलिए घटना के कारण चेन के स्वयं के टोकन की पूर्ति में वृद्धि नहीं हुई।

वह सीमा इसे अनधिकृत मिंट के सबसे खराब पढ़ाई से अलग करती है। एक हमलावर जो मूल टोकन छापता है, वह एक साथ सभी होल्डर्स को चुपचाप घटा देता है। एक हमलावर जो अन्य संपत्तियों के ब्रिज किए गए प्रतिनिधित्व — AUSD, ETH और USDC, जैसा कि सह-संस्थापक ने सूचीबद्ध किया — छापता है, वह उन प्रतिनिधित्वों के पीछे मौजूद वास्तविक सुरक्षा से बंधा होता है। पहले दिन प्रचलित दो हानि के आंकड़े दर्शाते हैं कि यह सीमा कितनी तेजी से आगे बढ़ी। स्प्रीक के प्रारंभिक अनुमान के अनुसार, नकदी निकास $2.6 मिलियन था, जबकि ट्रांसफ़र अभी भी हो रहे थे; सह-संस्थापक का बाद का आंकड़ा “~$2.7m” था। लगभग $100,000 का अंतर वह पैसा है जो पहली रिपोर्ट के बाद भी हिलता रहा।

विश्लेषण फर्म D2 Finance द्वारा डिकोड किया गया लेन-देन का अनुसरण, 14:59:26 UTC पर शुरू होता है, जिसमें Initia पर 2,000,000 AUSD जारी किए गए। एक सौ पचास तीन सेकंड बाद, एक LayerZero संदेश ने ईथेरियम-पक्ष एडेप्टर से 1.4 मिलियन वास्तविक AUSD जारी किए; 15:06:47 UTC पर 105 ETH आया, और सर्कल के CCTP के माध्यम से ईथेरियम पर अतिरिक्त 1.08 मिलियन USDC नवीन जारी के रूप में पहुँचा। D2 Finance के समय-चिह्नों के अनुसार, जारी करने के 7 मिनट और 21 सेकंड के भीतर $2.65 मिलियन ईथेरियम पर वापस आ गया — इस अवधि के दौरान लगभग प्रति सेकंड $6,000 की निकासी दर के साथ।

यह तंत्र एक पोस्ट-मॉर्टम द्वारा समझाया जाना चाहिए। इनिशिया के सेतुबद्ध संपत्तियाँ OFT एडेप्टर्स के पीछे स्थित हैं, जो लॉकबॉक्स कॉन्ट्रैक्ट्स हैं जो वास्तविक टोकन रखते हैं और उन्हें तब जारी करते हैं जब मिलान वाली इनिशिया-पक्ष की बैलेंस जला दी जाती है। एक एडेप्टर यह सत्यापित कर सकता है कि टोकन जला दिए गए थे; लेकिन D2 Finance के संदर्भ में, यह “जलाए गए टोकन कभी समर्थित थे या नहीं, यह जाँच नहीं कर सकता।” इसलिए हमलावर ने एक असमर्थित दावा जारी किया, इसे जला दिया, और वास्तविक सुरक्षा प्राप्त की। D2 Finance ने यह भी नोट किया कि जलावट को मिटाने वाला रोलबैक स्रोतों को मिटा नहीं सकता, जिसके कारण “मेक-व्होल” प्रश्न खुला हुआ है। सेतु-बनाम-समर्थन की विफलता पहले ही इस परितंत्र में मुकदमेबाजी का कारण बन चुकी है, जिसमें Kelp DAO और LayerZero के बीच $292 मिलियन rsETH मुकदमा शामिल है।

स्टेबलकॉइन AUSD के जारीकर्ता Agora से सबसे तीव्र प्रतिक्रिया आई। “Agora के पास Initia पर कोई स्‍मार्ट कॉन्ट्रैक्ट डिप्लॉय नहीं किया गया है,” कंपनी ने लिखा। “हमारी सुरक्षा टीम स्थिति का निरीक्षण कर रही है और AUSD/Agora स्‍मार्ट कॉन्ट्रैक्ट्स वाली चेन्स पर AUSD रखने वाले हैकर पतों से संबंधित धनराशि को जमा कर देगी।” यह बयान जारीकर्ता को हमले से अलग करता है और एक ही समय में यह भी पुष्टि करता है कि Initia पर जारी 2 मिलियन “AUSD” कभी Agora का अपना टोकन नहीं था।

यह लेख की केंद्रीय तनाव है। एक टिकर दो चेन पर “AUSD” पढ़ सकता है और दो अलग-अलग चीजों का मतलब हो सकता है — एक चेन पर Agora का स्वयं का निर्गम, और दूसरी चेन पर इसका ब्रिज किया गया प्रतिनिधित्व। हमलावर ने दूसरे का फायदा उठाया। Agora की आश्वासन यह है कि वह उन चेन पर फंड्स को अभी भी जमा कर सकता है जहाँ उसके वास्तविक कॉन्ट्रैक्ट मौजूद हैं; शेष जोखिम यह है कि ब्रिज किया गया प्रतिनिधित्व एडेप्टर के लॉकबॉक्स में रखे वास्तविक AUSD से समर्थित था, और वह वास्तविक AUSD पहले ही स्थानांतरित हो चुका है। Cosmos-आधारित नेटवर्क पहले भी इस विफलता को देख चुके हैं। अक्टूबर में, Cosmos Labs ने EVM चेन्स को KiiChain के $148 मिलियन के हमले के बाद रोकने की सलाह दी, जो संकेत है कि मिंट-एंड-ब्रिज हमले परितंत्र में एक-बार की खामी के बजाय एक दोहराया गया विफलता मोड बन गए हैं।

एक पूर्ण श्रृंखला रोक नेटवर्क का सबसे कच्चा उपकरण है, और Initia ने इसका जानबूझकर उपयोग किया। सहमति को रोकने से हमलावर आगे मिंट और ब्रिज नहीं कर सकता, लेकिन यह नेटवर्क पर प्रत्येक वैध उपयोगकर्ता, एप्लिकेशन और वैलिडेटर को भी जमा कर देता है। यह विनिमय केवल तभी समझ में आता है अगर टीम ने यह निर्णय लिया हो कि दुरुपयोग धन को लगातार खींचता रह सकता है, जिसकी प्रारंभिक “धन अभी भी चल रहा है” की भाषा से पता चलता है कि ऐसा ही हुआ।

बाजार ने इस घटना को सीमित माना। INIT, मूल टोकन, 23 अक्टूबर को CoinGecko के डेटा के अनुसार लगभग $0.115 तक गिर गया, और फिर $0.15 से ऊपर वापस आ गया — यह प्रतिक्रिया एक सीमित, गैर-विस्तारित दुरुपयोग के साथ संगत है, न कि आपूर्ति के सदमे के साथ। जो खुला है, वह संचालन है। Initia ने पुनः शुरू करने की तारीख नहीं निर्धारित की है, और इसका आधिकारिक खाता अंतिम हानि की कुल राशि या कोई विशिष्ट तकनीकी कारण साबित नहीं किया है। घटना के बाद से छह घंटे से अधिक समय तक चेन अभी भी रुकी हुई है, 23365925 ब्लॉक हाइट पर फंसी हुई है।

अगला देखने के लिए क्या है, वह प्रक्रियात्मक है, अनुमानित नहीं। इनिशिया कहती है कि वह अपने आधिकारिक चैनलों के माध्यम से सत्यापित जानकारी साझा करेगी, और ठीक MoveVM दोष और मेक-व्होल प्लान का नाम लेने वाला एक पोस्ट-मॉर्टम अगला वास्तविक संकेत है। उससे पहले, पुष्टि की गई तथ्यात्मक जानकारी प्रचलित संख्याओं से संकीर्ण है: एक चेन को रोक दिया गया, एक सह-संस्थापक का प्रारंभिक निदान एक डे-0 MoveVM बग की ओर इशारा करता है, और किसी के पास नेटवर्क को रोकने का समय न होने के कारण, Ethereum के लिए लगभग $2.7 मिलियन के सेतुबंधित संपत्ति छोड़ दी गईं।