Initia, $2,7M değerindeki mint istismarı sonrası L1 ve Rollups'ı durdurdu

Initia, 23 Ekim'de 15:41:30 UTC'de blok üretmeyi durdurdu; bu, bir saldırganın hiçbir şeyden 2.000.000 AUSD üretmesinden yaklaşık kırk iki dakika sonra ve pseudonim araştırmacı Spreek'in aktiviteyi zincir üzerinde işaretlemesinden on dört dakika sonra gerçekleşti. Projenin ilk duyurusu bunu “bir güvenlik olayı” olarak adlandırdı ve hiçbir mekanikten bahsetmedi. Bu mekanikler, sonraki gün parçalar halinde ortaya çıktı ve birlikte, bir arz şokundan daha dar ve rutin bir hata kadar değil: köprüye dokunduğu anda gerçek para haline gelen yetkisiz bir üretim sürecini tanımlıyor.

23 Ekim 2026, 15:41:30 UTC itibarıyla, Initia L1 ve Rollups bir güvenlik olayı nedeniyle durdurulmuştur. Takımımız, durumu aktif olarak araştırıyor ve güvenlik ekipleri, doğrulayıcılar ve borsalarla etkinin tam kapsamlısını belirlemek için çalışıyor. Bilgi mevcut olduğunda, resmi kanallarımız aracılığıyla doğrulanmış bilgileri paylaşacağız. Bu süre boyunca, resmi olmayan bağlantılar, mesajlar veya iddialara dikkat ediniz.

— Initia (@initia) 23 Ekim 2026

Initia, Cosmos SDK üzerine inşa edilmiş bir layer-1 blok zinciridir ve Minitias adını verdiği birbirine bağlı rollup ağına ev sahipliği yapar. Bu nedenle temel zincirdeki bir durma, tek bir uygulama değil, tüm yapıyı çevrimdışı bırakır. İlk duyuruda saklanan bilgiyi kurucu ortak Ezaan Mangalji ayrı olarak açıkladı. “Şu ana kadar bildiğimiz kadarıyla, bu, Initia’nın CosmosSDK üzerindeki MoveVM’iyle ilgili bir Day 0 hatasıdır ve saldırganın Initia L1 üzerinde ek token üretmesine izin verir, ancak yerel INIT tokenlarına uygulanmaz,” diye yazdı ve saldırganın “zincir durdurulmadan önce yaklaşık 2,7 milyon dolarlık AUSD, ETH ve USDC üretip köprülediğini” ekledi. Başlangıç sırasındaki kıyaslama ifadesi kritik öneme sahiptir. Initia bir olay sonrası analiz yayınlamamıştır ve resmi hesabı son kayıp miktarını doğrulamamıştır.

MoveVM, Initia üzerinde akıllı sözleşmeleri çalıştıran sanal makinedir. Bir Day-0 hatası, orijinal dağıtımda yer alan bir hatadır ve ortak kurucunun ilk teşhisine göre bu hata, Cosmos SDK üzerindeki Initia'nın MoveVM uygulamasının içinde yer almaktadır. Bu hata, normalde emisyonu önceden izin gerektiren bir işlem olan token bakiyelerinin üretimi (minting) imkânını sağlamıştır. Hatanın etkilemediği şeyler, etkiledikleri kadar önemlidir. Yerel INIT tokenları, istismarın dışındaydı, bu nedenle olay zincirin kendi tokenının arzını şişirmemiştir.

Bu sınır, yetkisiz bir madenin en kötü okunumundan bu durumu ayırır. Yerel tokeni basan bir saldırgan, her bir tutarı aynı anda sessizce seyreltir. Diğer varlıkların köprülenmiş temsillerini — ortak kurucunun listelediği AUSD, ETH ve USDC — basan bir saldırgan, bu temsillerin arkasında yer alan gerçek teminatla sınırlıdır. İlk günde dolaşıan iki kayıp rakam, bu sınırlamanın ne kadar hızlı harekete geçtiğini gösteriyor. Spreek’in erken tahmini, nakit çekiminin 2,6 milyon dolar olduğunu gösterirken hâlâ transferler devam ediyordu; ortak kurucunun daha sonraki rakamı “~2,7 milyon dolar” idi. Yaklaşık 100.000 dolarlık fark, ilk rapordan sonra harekete geçen para miktarıdır.

Analiz firması D2 Finance tarafından çözülen işlem izi, Initia tarafında 2.000.000 AUSD üretmek için 14:59:26 UTC'de imzalanmış tek bir işlemle başlıyor. Yüz otuz üç saniye sonra, LayerZero mesajı Ethereum tarafındaki adaptörden 1,4 milyon gerçek AUSD serbest bırakıyor; 15:06:47 UTC'de 105 ETH takip ediyor ve Circle’ın CCTP aracılığıyla Ethereum’a ek olarak 1,08 milyon USDC yeni üretimiyle geliyor. D2 Finance’in zaman damgalarına göre, üretimin 7 dakika 21 saniye içinde Ethereum’a 2,65 milyon dolar geri döndü — bu süre boyunca yaklaşık saniyede 6.000 dolarlık bir çekim oranı.

Mekanizma, bir olay sonrası incelemede açıklanması gereken bir parçadır. Initia'nın köprülenen varlıkları, gerçek tokenleri tutan ve eşleşen Initia tarafı bakiyesi yakıldığında bunları serbest bırakan OFT adaptörlerinin arkasında yer alır. Bir adaptör, tokenlerin yakıldığını doğrulayabilir; ancak D2 Finance'in çerçevesine göre, “yakılan tokenlerin asla desteklenip desteklenmediğini kontrol edemez.” Bu nedenle saldırgan, desteksiz bir talep üretti, bunu yaktı ve gerçek teminatı topladı. D2 Finance ayrıca, yakımları silen bir rollback'in serbest bırakmaları silmeyeceğini de belirtti; bu nedenle tamamen telafi edilmesi sorusu hâlâ açık kalmaktadır. Köprü ile destek arasındaki başarısızlık, bu ekosistemde zaten 292 milyon dolarlık rsETH anlaşmazlığını içeren dava süreçlerine yol açmıştır, bu da Kelp DAO ile LayerZero arasında yaşanmıştır.

En keskin yanıt, AUSD stablecoin'un yayıncısı Agora'dan geldi. “Agora, Initia üzerinde hiçbir akıllı sözleşme dağıtmadı,” şirket yazdı. “Güvenlik ekibimiz durumu izliyor ve AUSD/Agora akıllı sözleşmelerinin dağıtıldığı zincirlerde AUSD tutan hacker adresleriyle ilgili fonları donduracak.” Bu açıklama, yayıncıyı istismardan uzaklaştırırken, aynı zamanda Initia üzerinde üretilen 2 milyon “AUSD”’nin asla Agora'nın kendi token'i olmadığını doğruluyor.

Bu, makalenin merkezi gerginliğidir. Bir sembol, iki farklı zincirde “AUSD” olarak okunabilir ve bunun biri Agora’nın yerel çıkartımı, diğeri ise başka bir zincirde köprülenmiş temsili olabilir. Saldırgan ikincisini kullanmış. Agora’nın güvencesi, gerçek sözleşmelerinin bulunduğu zincirlerde fonları dondurabilmektedir; kalan risk, köprülenmiş temsilin, adaptörün kilitli kutusunda tutulan gerçek AUSD ile desteklendiği ve bu gerçek AUSD’nin zaten taşındığıdır. Cosmos tabanlı ağlar bu tür bir hatayı daha önce yaşamıştır. Ekim ayında Cosmos Labs, KiiChain’in 148 milyon dolarlık sızıntısı sonrası EVM zincirlerini durdurma çağrısında bulunmuş, bu da mint-and-bridge saldırılarının ekosistemde tekil bir hata değil, tekrarlayan bir başarısızlık modu haline geldiğini göstermektedir.

Tam bir zincir durdurması, bir ağın sahip olduğu en kaba araçtır ve Initia bunu kasıtlı olarak kullandı. Konsensüsün durdurulması, saldırganın daha fazla maden çıkarmasını ve köprülemesini engeller, ancak aynı zamanda ağdaki her legítim kullanıcıyı, uygulamayı ve doğrulayıcıyı dondurur. Bu ödünleşim, ekip tarafından exploit'in fonların devam eden çekimine neden olabileceğine karar verildiğinde yalnızca anlamlıdır; bu da erken dönemdeki "fonlar hâlâ hareket ediyor" ifadesiyle desteklenmektedir.

Piyasa olayı kontrol altına alındı olarak yorumladı. Yerel token olan INIT, CoinGecko verilerine göre 23 Ekim'de yaklaşık 0,115 $'a düştü ve ardından 0,15 $'ın üzerine yükseldi — bu, bir arz şoku yerine sınırlı ve seyreltme olmayan bir istismarla uyumlu bir tepkidir. Açık kalan nokta ise operasyoneldir. Initia, yeniden başlatma tarihi belirlememiş ve resmi hesabı nihai kayıp miktarını veya belirli bir teknik nedeni onaylamamıştır. Zincir, olaydan daha fazla altı saat sonra hâlâ 23365925 blok yüksekliğinde duruyordu.

Sonraki izlenecek şey prosedüreldir, spekülatif değildir. Initia, resmi kanalları aracılığıyla doğrulanmış bilgileri paylaşacağını söylüyor ve tam olarak MoveVM kusurunu ve tamir planını adlandıran bir post-mortem, sonraki gerçek sinyal olacak. O ana kadar doğrulanmış gerçekler, dolaşımdaki rakamlardan daha sınırlıdır: bir zincir durduruldu, bir kurucu ortağın ilk teşhisinde Day-0 MoveVM hatası belirtildi ve ağ durdurulmadan önce Ethereum'a yaklaşık 2,7 milyon dolarlık köprülenmiş varlık bırakıldı.