Initia、270万ドルのミント攻撃後、L1とロールアップを一時停止

Initiaは、10月23日15時41分30秒（UTC）にブロックの生成を停止しました。これは、攻撃者が何もないところから2,000,000 AUSDを発行してから約42分後、そして匿名の研究者Spreekがオンチェーンでその活動を警告してから14分後のことです。プロジェクトの最初の通知ではこれを「セキュリティインシデント」と呼び、そのメカニズムには一切言及しませんでした。その後の24時間の間に、そのメカニズムは断片的に明らかになり、それらを合わせると、供給ショックよりも限定的で、通常のバグよりも鋭いものであることがわかります。つまり、未承認の発行がブリッジに触れると同時に実際の通貨となったのです。

2026年10月23日15時41分30秒（UTC）現在、Initia L1およびRollupsはセキュリティインシデントにより停止しています。当社チームは、セキュリティチーム、バリデーター、取引所と連携して状況を調査し、影響の範囲を特定するために対応中です。確認された情報が得次第、公式チャネルを通じてお知らせします。この期間中、非公式のリンク、メッセージ、主張にはご注意ください。

— Initia (@initia) October 23, 2026

InitiaはCosmos SDKに基づくレイヤー1ブロックチェーンであり、Minitiasと呼ぶ相互接続されたロールアップのネットワークをホストしています。したがって、ベースチェーンの停止は単一のアプリケーションではなく、全体のコンステレーションをオフラインにします。最初の通知では隠されていた情報について、共同創設者のエザーン・マンガルジが別途明かしました。「現在のところ私たちの知る限り、これはCosmosSDK上のInitiaのMoveVMに関連するDay 0のバグであり、攻撃者がInitia L1上で追加のトークンをミントすることを可能にしましたが、ネイティブなINITトークンには適用されません」と彼は書きました。さらに彼は、攻撃者が「チェーンが一時停止される前に、約270万ドル相当のAUSD、ETH、USDCをミントし、ブリッジアウトできた」と付け加えました。この前置きは極めて重要です。Initiaはまだポストモーテムを公開しておらず、公式アカウントも最終的な損失額を確認していません。

MoveVMは、Initia上でスマートコントラクトを実行する仮想マシンです。Day-0バグとは、元のデプロイ時に既に存在していたバグを指し、共同設立者の初期診断では、このバグはCosmos SDK上のInitiaのMoveVM実装内に存在するとされています。このバグにより可能になったのは、通常の発行前に必要な承認なしにトークン残高を生成する「ミント」です。バグが影響しなかった部分は、影響した部分と同じくらい重要です。ネイティブなINITトークンはこの攻撃の対象外だったため、チェーン自体のトークン供給量は増加しませんでした。

その境界線は、不正なミントの最悪のケースとこれを区別する。攻撃者がネイティブトークンを印刷すると、すべての保有者が同時に、静かに希薄化される。一方、共同創設者が挙げたAUSD、ETH、USDCのような他の資産のブリッジされた表現を印刷する攻撃者は、それらの表現の背後にある実際のコラテラルによって制約される。初日に公表された2つの損失額は、その制約がいかに迅速に機能したかを示している。スピークの初期推定では、送金が継続している段階で現金引き出し額は260万ドルとされたが、共同創設者が後に示した額は「約270万ドル」だった。約10万ドルの差額は、最初の報告後に引き続き動いた資金である。

分析会社D2 Financeが解読したトランザクションの追跡は、UTC 14:59:26にInitia側で2,000,000 AUSDをミントした単一の署名済みトランザクションから始まる。153秒後、LayerZeroメッセージがEthereum側アダプターから140万枚の実際のAUSDを解放し、UTC 15:06:47に105 ETHが送信され、さらにCircleのCCTPを通じて108万USDCがEthereumに新規ミントされた。D2 Financeのタイムスタンプによると、ミントから7分21秒以内に265万ドルがEthereumに戻っており、この期間全体で約毎秒6,000ドルの抽出速度となった。

このメカニズムは、ポストモーテムで説明される部分である。Initiaのブリッジされた資産は、OFTアダプターの背後にあるロックボックス契約に格納されており、実際のトークンを保持し、対応するInitia側の残高がバーンされたときにそれらを解放する。アダプターはトークンがバーンされたことを検証できるが、D2 Financeの説明によれば、「バーンされたトークンが実際に裏付けられていたかどうかを確認することはできない」。したがって、攻撃者は裏付けのない請求を発行し、それをバーンして実際の担保を収集した。D2 Financeはまた、バーンを消去するロールバックでは解放が消去されないことも指摘しており、そのため「補填の有無」の問題は未解決のままである。このエコシステムでは、ブリッジと裏付けの失敗によりすでに訴訟が発生しており、その一例として$292百万のrsETH紛争（Kelp DAOとLayerZero間）がある。

AUSDステーブルコインの発行元であるAgoraから最も明確な返答が寄せられた。「AgoraはInitia上にスマートコントラクトをデプロイしていません」同社は記した。「当社のセキュリティチームは状況を監視しており、AUSD/Agoraのスマートコントラクトがデプロイされているチェーン上でハッカーアドレスが保有するAUSD関連資金を凍結します。」この声明は、発行元がこの攻撃とは無関係であることを明確にし、同時にInitia上で発行された200万枚の「AUSD」はAgora自身のトークンではなかったことを確認している。

それが記事の中心的な緊張感である。ティッカーは2つのチェーン上で「AUSD」と表示され、それぞれ異なる意味を持つ可能性がある——1つのチェーンではAgoraのネイティブ発行を、別のチェーンではそのブリッジされた表現を意味する。攻撃者は2番目のケースを悪用した。Agoraの安心材料は、実際の契約が存在するチェーン上で資金を凍結できる点であるが、残るリスクは、ブリッジされた表現がアダプターのロックボックスに保管された本物のAUSDによって裏付けられており、その本物のAUSDはすでに移動している可能性があることである。Cosmosベースのネットワークは、この失敗を以前にも経験している。10月、Cosmos LabsはKiiChainの1億4800万ドルの攻撃を受けてEVMチェーンに停止を要請した。これは、ミント＆ブリッジ攻撃がエコシステム全体で一過性のバグではなく、繰り返される失敗モードとなっていることを示している。

完全なチェーン停止は、ネットワークが持つ最も強力な手段であり、Initiaは意図的にそれを使用しました。コンセンサスの停止は、攻撃者がさらに通貨を発行したりブリッジしたりすることを防ぎますが、同時にネットワーク上のすべての正当なユーザー、アプリケーション、バリデーターを凍結させます。このトレードオフは、攻撃が資金を継続して吸い取る可能性があるとチームが判断した場合にのみ意味があります。これは、「資金がまだ移動中」という初期の表現からも示唆されています。

市場はこの出来事を限定的なものと解釈しました。ネイティブトークンであるINITは、CoinGeckoのデータによると、10月23日に約$0.115まで下落しましたが、その後$0.15を超えて回復しました。これは供給ショックではなく、限定的で希釈されない脆弱性の影響であると一致する反応です。残されているのは運用面の問題です。Initiaは再開日を設定しておらず、公式アカウントも最終的な損失額や具体的な技術的要因を確認していません。このチェーンは出来事発生後6時間以上経過しても停止したままで、ブロック高23365925で立ち止まっています。

次に注目すべきことは、推測ではなく手順です。Initiaは、公式チャネルを通じて検証済みの情報を共有すると述べており、具体的なMoveVMの欠陥と補填計画を明示した事後分析が次の真のシグナルとなります。それまで、確認された事実は流通する数値よりも限定的です。チェーンが停止し、共同設立者の初期診断ではDay-0のMoveVMバグが指摘され、ネットワークを停止できる前に約270万ドル分のブリッジされた資産がEthereumへ移動しました。