Initia призупиняє L1 та Rollups після експлуатації на $2,7 млн

Initia припинила створення блоків о 15:41:30 UTC 23 жовтня, приблизно через сорок дві хвилини після того, як атакуючий створив 2 000 000 AUSD з нічого, і через чотирнадцять хвилин після того, як псевдонімний дослідник Spreek позначив цю діяльність у ланцюжку. Перше повідомлення проєкту назвало це «інцидентом безпеки» і не назвало жодного з механізмів. Ці механізми з’явилися фрагментами протягом наступного дня, і разом вони описують щось вужче, ніж шок пропозиції, і гостріше, ніж звичайний баг: неавторизоване створення, яке стало реальними грошима в той самий момент, коли торкнулося мосту.

На 23 жовтня 2026 року, 15:41:30 UTC, L1 та Rollups Initia призупинені через інцидент безпеки. Наша команда активно розслідує ситуацію та працює над визначенням повного масштабу будь-яких наслідків разом із командами безпеки, валідаторами та біржами. Ми надамо перевірену інформацію через наші офіційні канали, як тільки вона стане доступною. Будь ласка, залишайтеся обережними щодо неофіційних посилань, повідомлень або тверджень, що поширюються в цей час.

— Initia (@initia) 23 жовтня 2026

Initia — це блокчейн першого рівня, побудований на Cosmos SDK, який розміщує мережу взаємопов’язаних ролапів, які вона називає Minitias. Зупинка базового ланцюга виводить з ладу всю сукупність, а не окремий застосунок. Первинну інформацію не було оприлюднено, але співзасновник Езаан Мангалджі надав її окремо. «На нашу поточну інформацію, це баг Day 0, пов’язаний з MoveVM Initia на CosmosSDK, який дозволив експлуататору створити додаткові токени на Initia L1, але не стосується нативних токенів INIT», написав він, додавши, що нападник «зміг створити та перевести приблизно на $2,7 млн AUSD, ETH та USDC до зупинки ланцюга». Первинна кваліфікація має вирішальне значення. Initia ще не опублікувала пост-мортем, а її офіційний акаунт не підтвердив остаточну суму збитків.

MoveVM — це віртуальна машина, яка виконує смартконтракти на Initia. Помилка Day-0 — це така, яка була включена в початковий розгортання, а попередній діагноз співзасновника вказує на те, що вона знаходиться в реалізації MoveVM Initia на Cosmos SDK. Експлуатація, яку вона дозволила, полягала у створенні — створенні балансів токенів без авторизації, яка зазвичай передує випуску. Те, чого не торкнулася помилка, має таке ж значення, як і те, чого вона торкнулася. Нативні токени INIT були поза досяжністю експлуатації, тому інцидент не призвів до збільшення пропозиції власного токену ланцюга.

Ця межа відокремлює це від найгіршого сценарію неавторизованого мінту. Зловмисник, який друкує нативний токен, одразу й тихо розбавляє всіх власників. Зловмисник, який друкує мостові версії інших активів — AUSD, ETH і USDC, як перелічив співзасновник, — обмежений реальним колатералом, що стоїть за цими представленнями. Дві цифри збитків, що циркулювали в перший день, показують, наскільки швидко це обмеження діяло. Ранній оцінка Спріка встановила виведення на $2,6 мільйона, поки перекази ще йшли; пізніша цифра співзасновника була «~$2,7 млн». Приблизна різниця в $100 000 — це гроші, які продовжували рухатися після першого звіту.

Ланцюжок транзакцій, розшифрований аналітичною фірмою D2 Finance, починається з однієї підписаної транзакції о 14:59:26 UTC, яка випустила 2 000 000 AUSD на стороні Initia. Через 153 секунди повідомлення LayerZero вивільнило 1,4 мільйона реальних AUSD з адаптера на стороні Ethereum; о 15:06:47 UTC надійшло 105 ETH, а ще 1,08 мільйона USDC прибули на Ethereum у вигляді нових випусків через Circle’s CCTP. За часовими мітками D2 Finance, $2,65 мільйона знову опинилися на Ethereum всього за 7 хвилин і 21 секунду після випуску — швидкість вилучення становить приблизно $6 000 за секунду протягом цього періоду.

Механізм — це частина, яку доведеться пояснити післявипадковому аналізі. Активи Initia, що з’єднані через міст, розташовані за адаптерами OFT — контрактами lockbox, які зберігають справжні токени та вивільняють їх, коли відповідний баланс на стороні Initia спалюється. Адаптер може перевірити, що токени були спалені, але, за формулюванням D2 Finance, не може «перевірити, чи коли-небудь підтримувалися спалені токени». Тому атакуючий створив непідтримуваний клейм, спалив його та отримав справжнє забезпечення. D2 Finance також зазначила, що відкат, який видалив би спалювання, не видалив би вивільнення, саме тому питання про відшкодування залишається відкритим. Невдача моста щодо підтримки вже призвела до судових позовів у цій екосистемі, зокрема до $292 мільйонів спору rsETH між Kelp DAO та LayerZero.

Найчіткішу відповідь надав Agora — випускник стейблкоїну AUSD. «Agora не має смартконтрактів, розгорнутих на Initia», написала компанія. «Наша команда безпеки стежить за ситуацією та заморозить кошти, пов’язані з адресами хакерів, які мають AUSD на ланцюгах, де розгорнуті смартконтракти AUSD/Agora». У цьому твердженні випускник віддаляє себе від експлойту, а одночасно підтверджує, що 2 мільйони «AUSD», випущених на Initia, ніколи не були власним токеном Agora.

Це центральна напруга статті. Тікер може відображатися як «AUSD» на двох ланцюгах і означати дві різні речі — нативну емісію Agora на одному ланцюзі та перенесену репрезентацію її на іншому. Зловмисник використав другий варіант. Agora підтверджує, що все ще може заморозити кошти на ланцюгах, де розташовані її справжні контракти; залишковий ризик полягає в тому, що перенесена репрезентація була забезпечена справжнім AUSD, що зберігався у блокувальній коробці адаптера, і цей справжній AUSD вже був переміщений. Мережі на основі Cosmos вже стикалися з такою невдачею раніше. У жовтні Cosmos Labs закликали EVM-ланцюги призупинити діяльність після експлуатації KiiChain на $148 мільйонів, що свідчить про те, що атаки типу «створення та перенесення» перетворилися на постійний спосіб невдачі в усій екосистемі, а не є разовою помилкою.

Повна зупинка ланцюга — це найгрубіший інструмент, який має мережа, і Initia використала його навмисно. Зупинка консенсусу перешкоджає атакувачеві створювати та переміщувати додаткові кошти, але також заморожує кожного легітимного користувача, застосунок та валідатора в мережі. Такий компроміс має сенс лише тоді, коли команда вважала, що експлойт зможе продовжувати виводити кошти, що підтверджується раннім формулюванням «кошти ще рухаються».

Ринок сприйняв інцидент як локалізований. INIT, нативний токен, впав до близько $0,115 23 жовтня, а потім відновився вище $0,15, за даними CoinGecko — це відповідь, що відповідає обмеженому, не дилюційному експлойту, а не шоку пропозиції. Що залишається відкритим — це операційний аспект. Initia не встановила дату перезапуску, а її офіційний акаунт не підтвердив кінцеву суму втрат чи конкретну технічну причину. Ланцюг все ще був зупинений більше шести годин після інциденту, застрягши на висоті блоку 23365925.

Що слід спостерігати далі, є процедурним, а не спекулятивним. Initia заявляє, що поділиться підтвердженою інформацією через свої офіційні канали, і пост-мортем з вказівкою точного дефекту MoveVM та плану відновлення — це наступний справжній сигнал. Доти підтверджені факти залишаються вужчими, ніж поширювані цифри: ланцюг було зупинено, попередній діагноз співзасновника вказував на дефект MoveVM Day-0, і приблизно 2,7 мільйона доларів США у перенесених активах залишилися на Ethereum, перш ніж хтось міг зупинити мережу.