Initia Menghentikan L1 dan Rollups Setelah Eksploitasi Pencetakan $2,7 Juta

Initia berhenti memproduksi blok pada pukul 15:41:30 UTC pada 23 Oktober, sekitar empat puluh dua menit setelah penyerang mencetak 2.000.000 AUSD dari ketiadaan dan empat belas menit setelah peneliti pseudonim Spreek menandai aktivitas tersebut di blockchain. Pemberitahuan pertama proyek menyebutnya sebagai "insiden keamanan" dan tidak menyebutkan mekanisme apa pun. Mekanisme-mekanisme tersebut muncul secara terpisah dalam sehari berikutnya, dan bersama-sama menggambarkan sesuatu yang lebih sempit daripada guncangan pasokan dan lebih tajam daripada bug biasa: pencetakan tidak sah yang menjadi uang nyata segera saat menyentuh jembatan.

Pada 23 Okt 2026, pukul 15:41:30 UTC, Initia L1 dan Rollups telah dihentikan karena insiden keamanan. Tim kami sedang secara aktif menyelidiki situasi ini dan bekerja untuk menentukan cakupan penuh dampaknya bersama tim keamanan, validator, dan bursa. Kami akan membagikan informasi yang telah diverifikasi melalui saluran resmi kami segera tersedia. Harap tetap berhati-hati terhadap tautan, pesan, atau klaim tidak resmi yang beredar selama masa ini.

— Initia (@initia) 23 Oktober 2026

Initia adalah blockchain lapisan-1 yang dibangun di atas Cosmos SDK yang menyelenggarakan jaringan rollup yang saling terhubung yang disebut Minitias. Penghentian rantai dasar karena itu membuat seluruh konstelasi offline, bukan satu aplikasi saja. Apa yang tidak diungkapkan dalam pengumuman pertama, disediakan secara terpisah oleh co-founder Ezaan Mangalji. “Menurut pengetahuan kami sejauh ini, ini adalah bug Day 0 yang terkait dengan MoveVM Initia pada CosmosSDK yang memungkinkan pelaku untuk mencetak token tambahan di Initia L1 tetapi tidak berlaku untuk token INIT asli,” dia menulis, menambahkan bahwa pelaku “berhasil mencetak dan menghubungkan keluar senilai sekitar $2,7 juta AUSD, ETH, dan USDC sebelum rantai dihentikan.” Kualifikasi awal ini sangat penting. Initia belum menerbitkan laporan pasca-insiden, dan akun resminya belum mengonfirmasi angka kerugian akhir.

MoveVM adalah mesin virtual yang menjalankan kontrak pintar di Initia. Bug Day-0 adalah bug yang dikirimkan dalam deploy awal, dan diagnosis awal co-founder menempatkannya di implementasi MoveVM Initia pada Cosmos SDK. Eksploitasi yang dihasilkan adalah pencetakan — menciptakan saldo token tanpa otorisasi yang biasanya mendahului penerbitan. Hal yang tidak terdampak oleh bug sama pentingnya dengan yang terdampak. Token INIT asli berada di luar jangkauan eksploitasi, sehingga insiden ini tidak meningkatkan pasokan token milik rantai itu sendiri.

Batas itu memisahkan ini dari skenario terburuk dari pencetakan tidak sah. Penyerang yang mencetak token asli melemahkan setiap pemegang sekaligus, secara diam-diam. Penyerang yang mencetak representasi jembatan dari aset lain—AUSD, ETH, dan USDC, seperti yang disebutkan oleh co-founder—dibatasi oleh jaminan nyata yang berada di belakang representasi tersebut. Dua angka kerugian yang beredar pada hari pertama menunjukkan seberapa cepat batasan itu bergerak. Perkiraan awal Spreek menempatkan penarikan tunai pada $2,6 juta saat transfer masih berjalan; angka kemudian dari co-founder adalah “~$2,7 juta.” Selisih sekitar $100.000 adalah uang yang terus bergerak setelah laporan pertama.

Jejak transaksi, yang diuraikan oleh perusahaan analitik D2 Finance, dimulai dengan satu transaksi yang ditandatangani pada pukul 14:59:26 UTC yang mencetak 2.000.000 AUSD di sisi Initia. Seratus lima puluh tiga detik kemudian, pesan LayerZero melepaskan 1,4 juta AUSD asli dari adapter sisi Ethereum; 105 ETH menyusul pada pukul 15:06:47 UTC, dan 1,08 juta USDC lebih lanjut tiba di Ethereum sebagai pencetakan baru melalui CCTP Circle. Menurut timestamp D2 Finance, $2,65 juta kembali ke Ethereum dalam waktu 7 menit dan 21 detik setelah pencetakan — tingkat ekstraksi sekitar $6.000 per detik selama periode tersebut.

Mekanisme ini adalah bagian yang harus dijelaskan dalam laporan pasca-kejadian. Aset yang dijembatani Initia berada di belakang adapter OFT, kontrak lockbox yang menyimpan token asli dan melepaskannya ketika saldo di sisi Initia yang sesuai dibakar. Sebuah adapter dapat memverifikasi bahwa token telah dibakar; namun, menurut kerangka D2 Finance, tidak dapat “memeriksa apakah token yang dibakar pernah didukung.” Oleh karena itu, penyerang mencetak klaim tanpa dukungan, membakarnya, dan mengumpulkan jaminan nyata. D2 Finance juga mencatat bahwa rollback yang menghapus pembakaran tidak akan menghapus pelepasan, itulah sebabnya pertanyaan tentang kompensasi penuh tetap terbuka. Kegagalan jembatan-versus-pendukung telah memicu gugatan hukum di ekosistem ini, termasuk perselisihan rsETH senilai $292 juta antara Kelp DAO dan LayerZero.

Balasan paling tajam datang dari Agora, penerbit stablecoin AUSD. “Agora tidak memiliki kontrak pintar yang diterapkan di Initia,” perusahaan menulis. “Tim keamanan kami telah memantau situasi ini dan akan membekukan dana yang terkait dengan alamat peretas yang memegang AUSD di rantai di mana kontrak pintar AUSD/Agora diterapkan.” Pernyataan ini memisahkan penerbit dari eksploitasi tersebut, sekaligus mengonfirmasi bahwa 2 juta “AUSD” yang dicetak di Initia bukanlah token milik Agora.

Itu adalah ketegangan utama artikel tersebut. Sebuah ticker dapat membaca “AUSD” di dua rantai dan berarti dua hal berbeda — penerbitan asli Agora di satu rantai, dan representasi jembatan darinya di rantai lainnya. Penyerang memanfaatkan yang kedua. Jaminan Agora adalah bahwa ia masih dapat membekukan dana di rantai tempat kontrak aslinya berada; risiko sisa adalah bahwa representasi jembatan tersebut didukung oleh AUSD asli yang disimpan di kotak kunci adapter, dan AUSD asli tersebut sudah berpindah. Jaringan berbasis Cosmos telah mengalami kegagalan ini sebelumnya. Pada Oktober, Cosmos Labs mendesak rantai EVM untuk menghentikan aktivitas setelah KiiChain’s $148 million exploit, sebuah tanda bahwa serangan mint-and-bridge telah menjadi mode kegagalan berulang di seluruh ekosistem, bukan sekadar bug satu kali.

Hentian penuh rantai adalah alat paling kasar yang dimiliki jaringan, dan Initia menggunakannya secara sengaja. Menghentikan konsensus mencegah penyerang mencetak dan melakukan bridging lebih lanjut, tetapi juga membekukan setiap pengguna, aplikasi, dan validator sah di jaringan. Kompromi ini hanya masuk akal jika tim menilai bahwa eksploitasi tersebut dapat terus menguras dana, yang ditunjukkan oleh bahasa awal “dana masih bergerak”.

Pasar menganggap insiden tersebut terbatas. INIT, token asli, jatuh ke sekitar $0,115 pada 23 Oktober sebelum memulihkan diri di atas $0,15, menurut data CoinGecko — respons yang konsisten dengan eksploitasi terbatas dan non-dilusi, bukan guncangan pasokan. Yang masih belum jelas adalah operasional. Initia belum menetapkan tanggal restart, dan akun resminya belum mengonfirmasi total kerugian akhir atau penyebab teknis spesifik. Rantai masih terhenti lebih dari enam jam setelah insiden, terjebak di ketinggian blok 23365925.

Apa yang harus diikuti selanjutnya bersifat prosedural, bukan spekulatif. Initia mengatakan akan membagikan informasi yang telah diverifikasi melalui saluran resminya, dan laporan pasca-insiden yang menyebutkan kelemahan MoveVM yang tepat serta rencana pemulihan adalah sinyal nyata berikutnya. Sampai saat itu, fakta yang dikonfirmasi tetap lebih sempit daripada angka yang beredar: sebuah rantai dihentikan, diagnosis awal salah satu co-founder menunjuk pada bug MoveVM Day-0, dan sekitar $2,7 juta aset yang dibridging pergi ke ethereum sebelum siapa pun bisa menghentikan jaringan.