Initia приостанавливает L1 и Rollups после эксплуатации уязвимости с созданием $2,7 млн

Initia остановила создание блоков в 15:41:30 UTC 23 октября, примерно через сорок две минуты после того, как атакующий создал 2 000 000 AUSD из ничего, и через четырнадцать минут после того, как анонимный исследователь Spreek отметил активность в цепочке. Первое сообщение проекта назвало это «инцидентом безопасности» и не упомянуло ни одного из механизмов. Эти механизмы стали известны фрагментарно в течение следующего дня, и вместе они описывают нечто более узкое, чем шок предложения, и более острое, чем обычный баг: неавторизованный выпуск, ставший реальными деньгами в тот момент, когда он коснулся моста.

На 23 октября 2026 года, 15:41:30 UTC, Initia L1 и Rollups приостановлены из-за инцидента безопасности. Наша команда активно расследует ситуацию и работает с командами безопасности, валидаторами и биржами, чтобы определить полный масштаб возможных последствий. Мы будем делиться проверенной информацией через наши официальные каналы по мере её появления. Пожалуйста, будьте осторожны с неофициальными ссылками, сообщениями или утверждениями, распространяющимися в это время.

— Initia (@initia) 23 октября 2026

Initia — это блокчейн первого уровня, построенный на Cosmos SDK, который поддерживает сеть взаимосвязанных роллапов, называемых Minitias. Остановка базовой цепочки поэтому выводит из строя всю конфигурацию, а не отдельное приложение. То, что первое сообщение скрыло, отдельно предоставил сооснователь Эзан Мангалджи. «На текущий момент нам известно, что это ошибка Day 0, связанная с MoveVM Initia на CosmosSDK, которая позволила злоумышленнику создавать дополнительные токены на Initia L1, но не распространяется на нативные токены INIT», написал он, добавив, что злоумышленник «смог создать и перевести через мост примерно $2,7 млн в виде AUSD, ETH и USDC до остановки цепочки». Первое уточнение имеет решающее значение. Initia не опубликовала пост-мортем, и ее официальный аккаунт не подтвердил окончательную сумму убытков.

MoveVM — это виртуальная машина, которая выполняет смарт-контракты на Initia. Ошибка дня 0 — это ошибка, присутствовавшая в первоначальном развертывании, и предварительная диагностика сооснователя указывает на нее в реализации MoveVM Initia на Cosmos SDK. Эксплуатируемая ею уязвимость заключалась в чеканке — создании балансов токенов без необходимого разрешения, которое обычно предшествует выпуску. То, что ошибка не затронула, имеет такое же значение, как и то, что она затронула. Нативные токены INIT находились за пределами зоны эксплуатации, поэтому инцидент не привел к увеличению предложения собственного токена цепочки.

Эта граница отделяет это от худшего сценария неавторизованного чеканки. Злоумышленник, который печатает нативный токен, сразу и незаметно размывает позиции всех держателей. Злоумышленник, который печатает мостовые версии других активов — AUSD, ETH и USDC, как перечислил сооснователь, — ограничен реальным обеспечением, лежащим за этими представлениями. Две цифры убытков, циркулирующие в первый день, показывают, насколько быстро сработало это ограничение. Ранняя оценка Спринка установила объем вывода в $2,6 млн, пока переводы еще продолжались; более поздняя цифра сооснователя составила «~$2,7 млн». Разница в примерно $100 000 — это средства, которые продолжали перемещаться после первого отчета.

Цепочка транзакций, расшифрованная аналитической фирмой D2 Finance, начинается с одной подписанной транзакции в 14:59:26 UTC, которая создала 2 000 000 AUSD на стороне Initia. Спустя 153 секунды сообщение LayerZero высвободило 1,4 миллиона реальных AUSD из адаптера на стороне Ethereum; через 15:06:47 UTC последовало 105 ETH, а еще 1,08 миллиона USDC прибыли на Ethereum в виде свежих монет через CCTP от Circle. Согласно временным меткам D2 Finance, $2,65 миллиона вернулись на Ethereum в течение 7 минут и 21 секунды после создания — скорость извлечения составила примерно $6 000 в секунду.

Механизм — это часть, которую необходимо объяснить в постмортеме. Активы, связанные с Initia, находятся за адаптерами OFT — контрактами lockbox, которые хранят реальные токены и выпускают их при сжигании соответствующего баланса на стороне Initia. Адаптер может проверить, что токены были сожжены, но, согласно формулировке D2 Finance, не может «проверить, были ли когда-либо обеспечены сожженные токены». Таким образом, злоумышленник создал неподкрепленный запрос, сжег его и получил реальное обеспечение. D2 Finance также отметила, что откат, удаляющий операции сжигания, не отменит операции выпуска, поэтому вопрос о возмещении остается открытым. Сбой между мостом и обеспечением уже привел к судебным разбирательствам в этой экосистеме, включая $292 млн спора по rsETH между Kelp DAO и LayerZero.

Самый четкий ответ поступил от Agora — эмитента стейблкоина AUSD. «Agora не развертывала никаких смарт-контрактов на Initia», написала компания. «Наша команда безопасности отслеживает ситуацию и заморозит средства, связанные с адресами хакеров, содержащими AUSD на цепочках, где развернуты смарт-контракты AUSD/Agora». В этом заявлении эмитент дистанцируется от инцидента и одновременно подтверждает, что 2 миллиона «AUSD», выпущенных на Initia, никогда не были собственными токенами Agora.

Это центральное напряжение статьи. Тикер может отображаться как «AUSD» на двух цепочках и означать два разных вещи — нативную эмиссию Agora на одной цепочке и мостовую репрезентацию её на другой. Злоумышленник воспользовался вторым вариантом. Успокоение Agora заключается в том, что она всё ещё может заморозить средства на цепочках, где находятся её настоящие контракты; остаточный риск состоит в том, что мостовая репрезентация была обеспечена подлинными AUSD, хранящимися в блокировочной коробке адаптера, и эти подлинные AUSD уже были перемещены. Сети на базе Cosmos уже сталкивались с такой проблемой ранее. В октябре Cosmos Labs призвала EVM-цепочки приостановить работу после KiiChain’s $148 million exploit, что свидетельствует о том, что атаки типа «чеканка-мост» стали повторяющимся типом сбоя во всей экосистеме, а не единичной ошибкой.

Полная остановка цепочки — это самый грубый инструмент, которым располагает сеть, и Initia применила его намеренно. Остановка консенсуса препятствует дальнейшему созданию и переводу токенов злоумышленником, но также замораживает всех легитимных пользователей, приложений и валидаторов в сети. Эта компромиссная мера имеет смысл только в том случае, если команда сочла, что эксплуатация уязвимости сможет продолжать выводить средства, что подтверждается ранними сообщениями о том, что «средства всё ещё движутся».

Рынок воспринял инцидент как локализованный. INIT, нативный токен, упал до примерно $0,115 23 октября, прежде чем отскочить выше $0,15, согласно данным CoinGecko — это поведение согласуется с ограниченным, не разбавляющим эксплуатацией, а не с шоком предложения. Остается открытым вопрос операционной стороны. Initia не установила дату возобновления работы, а ее официальный аккаунт не подтвердил итоговый размер потерь или конкретную техническую причину. Цепочка все еще была остановлена более чем через шесть часов после инцидента, застряв на высоте блока 23365925.

Что смотреть дальше — это процедурный, а не спекулятивный процесс. Initia заявляет, что поделится проверенной информацией через свои официальные каналы, и пост-мортем с указанием точной уязвимости MoveVM и плана компенсации станет следующим реальным сигналом. До этого подтвержденные факты остаются уже уже более узкими, чем циркулирующие данные: цепочка была остановлена, предварительная диагностика сооснователя указала на ошибку MoveVM Day-0, и примерно 2,7 миллиона долларов США в переведенных активах ушли на Ethereum до того, как кто-либо смог остановить сеть.