Initia Menghentikan L1 dan Rollups Selepas Eksploitasi Pencetakan $2.7J

Initia berhenti menghasilkan blok pada 15:41:30 UTC pada 23 Oktober, kira-kira empat puluh dua minit selepas penyerang mencetak 2,000,000 AUSD daripada tiada apa-apa dan empat belas minit selepas penyelidik pseudonim Spreek menandakan aktiviti tersebut di atas rantai. Pemberitahuan pertama projek itu menyebutnya sebagai “insiden keselamatan” dan tidak menyebut sebarang mekanisme. Mekanisme-mekanisme tersebut muncul dalam bahagian-bahagian kecil sepanjang hari berikutnya, dan bersama-sama ia menggambarkan sesuatu yang lebih sempit daripada kejutan suplai dan lebih tajam daripada ralat biasa: pencetakan tanpa kebenaran yang menjadi wang sebenar pada saat ia menyentuh jambatan.

Pada 23 Okt 2026, 3:41:30 PTG UTC, Initia L1 dan Rollups telah dihentikan akibat insiden keselamatan. Pasukan kami sedang menyiasat situasi ini dan bekerja untuk menentukan lingkup penuh sebarang kesan bersama pasukan keselamatan, penvalid, dan bursa. Kami akan berkongsi maklumat yang telah disahkan melalui saluran rasmi kami apabila ia tersedia. Sila tetap berhati-hati terhadap pautan, mesej, atau tuntutan tidak rasmi yang beredar semasa ini.

— Initia (@initia) 23 Oktober 2026

Initia ialah blok rantai lapisan-1 yang dibina di atas Cosmos SDK yang mengendalikan rangkaian rollup yang saling berkaitan yang dipanggil Minitias. Penghentian rantai asas dengan itu membawa seluruh konstelasi luar talian, bukan satu aplikasi sahaja. Apa yang tidak dinyatakan dalam pengumuman pertama, dikemukakan secara berasingan oleh rakan pengetua Ezaan Mangalji. “Menurut pengetahuan kami sejauh ini, ini adalah ralat Hari 0 yang berkaitan dengan MoveVM Initia pada CosmosSDK yang membenarkan penyerang mencetak token tambahan pada Initia L1 tetapi tidak berlaku pada token INIT asli,” beliau menulis, menambah bahawa penyerang “berjaya mencetak dan menghubungkan keluar nilai sebanyak ~$2.7 juta AUSD, ETH, dan USDC sebelum rantai dihentikan.” Kualifikasi pembuka adalah penting. Initia belum menerbitkan laporan pasca-kejadian, dan akaun rasminya belum mengesahkan angka kerugian akhir.

MoveVM ialah mesin maya yang menjalankan kontrak pintar di Initia. Ralat Hari-0 ialah ralat yang telah dihantar dalam pelancaran asal, dan diagnosis awal ko-pendiri meletakkannya di dalam pelaksanaan MoveVM Initia pada Cosmos SDK. Eksploitasi yang dibenarkannya ialah pencetakan — mencipta baki token tanpa kebenaran yang biasanya mendahului penerbitan. Apa yang tidak disentuh oleh ralat itu sama pentingnya dengan apa yang disentuhnya. Token INIT asli berada di luar jangkauan eksploitasi, jadi insiden ini tidak meningkatkan jumlah token milik rantai itu sendiri.

Sempadan itu memisahkan ini daripada bacaan terburuk bagi pencetan tidak sah. Serangan yang mencetak token asli akan mengurangkan nilai setiap pemegang pada masa yang sama, secara senyap. Serangan yang mencetak perwakilan jambatan aset lain — AUSD, ETH dan USDC, seperti yang disenaraikan oleh ko-pendiri — dibatasi oleh jaminan sebenar yang berada di belakang perwakilan tersebut. Dua angka kerugian yang beredar pada hari pertama menunjukkan seberapa pantas batasan itu bergerak. Anggaran awal Spreek meletakkan penarikan tunai pada $2.6 juta semasa pindahan masih berjalan; angka kemudian oleh ko-pendiri ialah “~$2.7j.” Kesenjangan kira-kira $100,000 ialah wang yang terus bergerak selepas laporan pertama.

Jejak transaksi, diuraikan oleh firma analitik D2 Finance, bermula dengan satu transaksi yang ditandatangani pada 14:59:26 UTC yang mencetak 2.000.000 AUSD di sisi Initia. Seratus lima puluh tiga saat kemudian, mesej LayerZero melepaskan 1,4 juta AUSD sebenar daripada adapter sisi Ethereum; 105 ETH menyusul pada 15:06:47 UTC, dan 1,08 juta USDC tambahan tiba di Ethereum sebagai pencetakan baharu melalui CCTP Circle. Menurut masa yang dicatat oleh D2 Finance, $2,65 juta telah kembali ke Ethereum dalam tempoh 7 minit dan 21 saat selepas pencetakan — kadar penarikan kira-kira $6.000 per saat sepanjang tempoh tersebut.

Mekanisme ini adalah bahagian yang perlu dijelaskan dalam laporan pasca-kejadian. Aset jambatan Initia berada di belakang penyesuai OFT, kontrak lockbox yang menyimpan token sebenar dan melepaskannya apabila baki sepadan di sisi Initia dibakar. Sebuah penyesuai boleh mengesahkan bahawa token telah dibakar; ia tidak boleh, menurut kerangka D2 Finance, “memeriksa sama ada token yang dibakar pernah disokong.” Oleh itu, penyerang mencipta tuntutan tanpa sokongan, membakarnya, dan mengumpul jaminan sebenar. D2 Finance juga mencatat bahawa pengembalian yang menghapuskan pembakaran tidak akan menghapuskan pelepasan, itulah sebabnya soalan make-whole masih terbuka. Kegagalan jambatan-berbanding-sokongan sudah menghasilkan tindakan undang-undang dalam ekosistem ini, termasuk perselisihan rsETH $292 juta antara Kelp DAO dan LayerZero.

Jawapan paling tajam datang dari Agora, penerbit koin stabil AUSD. “Agora tidak memiliki kontrak pintar yang dideploy di Initia,” perusahaan itu menulis. “Tim keselamatan kami telah memantau situasi ini dan akan membekukan dana yang berkaitan dengan alamat perompak yang memegang AUSD di rantai di mana kontrak pintar AUSD/Agora dideploy.” Pernyataan ini memisahkan penerbit dari eksploitasi tersebut, dan sekaligus mengesahkan bahawa 2 juta “AUSD” yang dicetak di Initia bukanlah token asli Agora.

Itu adalah ketegangan utama artikel tersebut. Ticker boleh membaca “AUSD” pada dua rantai dan bermaksud dua perkara berbeza — penerbitan asli Agora pada satu rantai, dan perwakilan jambatanannya pada rantai lain. Penyerang memanfaatkan yang kedua. Jaminan Agora ialah ia masih boleh membekukan dana pada rantai di mana kontrak aslinya berada; risiko sisa ialah perwakilan jambatan itu disokong oleh AUSD asli yang disimpan di kotak kunci penerus, dan AUSD asli itu sudah bergerak. Rangkaian berasaskan Cosmos telah melihat kegagalan ini sebelum ini. Pada Oktober, Cosmos Labs mendesak rantai EVM untuk menghentikan operasi selepas KiiChain’s $148 million exploit, menunjukkan bahawa serangan mint-dan-bridge telah menjadi mod kegagalan berulang di seluruh ekosistem, bukan sekadar kecacatan tunggal.

Penghentian penuh rantai adalah alat paling kasar yang dimiliki rangkaian, dan Initia menggunakannya dengan sengaja. Menghentikan konsensus mencegah penyerang mencetak dan memindahkan lebih lanjut, tetapi ia juga membekukan setiap pengguna, aplikasi, dan validator yang sah di rangkaian. Pertukaran ini hanya masuk akal jika pasukan menilai bahawa eksploitasi itu boleh terus menguras dana, yang menurut bahasa awal “dana masih bergerak” menunjukkan kesannya.

Pasar menganggap insiden ini sebagai terkawal. INIT, token asli, jatuh kepada sekitar $0.115 pada 23 Oktober sebelum pulih di atas $0.15, menurut data CoinGecko — satu respons yang selari dengan eksploit terbatas dan bukan pelusuran bekalan. Yang masih terbuka ialah operasi. Initia belum menetapkan tarikh pemulihan, dan akaun rasminya belum mengesahkan jumlah kerugian akhir atau pun sebab teknikal tertentu. Rantaian itu masih dihentikan lebih dari enam jam selepas insiden, terperangkap pada ketinggian blok 23365925.

Apa yang perlu diperhatikan seterusnya adalah prosedural, bukan spekulatif. Initia mengatakan ia akan berkongsi maklumat yang telah disahkan melalui saluran rasminya, dan laporan pasca-kejadian yang menyebut kelemahan MoveVM yang tepat serta rancangan pemulihan adalah isyarat sebenar seterusnya. Sehingga itu berlaku, fakta yang disahkan tetap lebih sempit berbanding nombor yang beredar: satu rantai telah dihentikan, diagnosis awal seorang rakan pengetua menunjukkan kelemahan MoveVM pada Hari-0, dan kira-kira $2.7 juta aset yang dipindahkan ke ethereum sebelum sesiapa mampu menghentikan rangkaian.