23 اکتوبر کو 15:41:30 UTC پر Initia نے بلاکس کی پیداوار بند کر دی، جو ایک حملہ آور نے 2,000,000 AUSD خالی سے جاری کرنے کے تقریباً چالیس دو منٹ بعد اور پیڈونیمس ریسرچر Spreek نے آن چین سرگرمی کو نشان زد کرنے کے چودہ منٹ بعد تھا۔ پروجیکٹ کا پہلا نوٹ اسے “ایک سیکورٹی واقعہ” کہہ رہا تھا اور کسی بھی مکینیزم کا نام نہیں لے رہا تھا۔ ان مکینیزمز کے ٹکڑے اگلے دن تک ٹکڑوں میں آئے، اور مل کر وہ کچھ ایسا بیان کرتے ہیں جو ایک سپلائی شاک سے تنگ تر اور ایک عام بگ سے تیز تر ہے: ایک غیر مجاز مِنٹ جو اس لمحے سے اصل پیسہ بن گیا جب یہ ایک برج کو چھوا۔
23 اکتوبر، 2026، 3:41:30 ظہیر UTC تک، ایک سیکورٹی واقعہ کی وجہ سے اینیشیا L1 اور رول اپس روک دیے گئے ہیں۔ ہماری ٹیم صورتحال کی تحقیق کر رہی ہے اور سیکورٹی ٹیموں، ویلیڈیٹرز اور ایکسچینجز کے ساتھ مل کر کسی بھی اثر کے مکمل دائرہ کار کو طے کرنے پر کام کر رہی ہے۔ جب بھی تصدیق شدہ معلومات دستیاب ہوں گی، ہم انہیں اپنے عرفی چینلز کے ذریعے شیئر کریں گے۔ براہ راست اس دوران غیر عرفی لنکس، پیغامات یا دعوؤں سے احتیاط کریں۔
— Initia (@initia) 23 اکتوبر، 2026
ایشیا کوسموس ایس ڈی کے پر بنایا گیا ایک لیئر-1 بلاک چین ہے جو اپنے مینیشیا کہلائے جانے والے متصل رول اپس کا ایک نیٹ ورک میزبانی کرتا ہے۔ اس لیے بنیادی چین کا روکنا پورے سیٹلیشن کو آفلائن کر دیتا ہے، صرف ایک ایپلیکیشن نہیں۔ پہلی نوٹس میں جو چھپایا گیا، اس کی تکمیل کو مشترکہ بانی اعزان منگل جی نے الگ سے فراہم کیا۔ “ہمارے علم تک، یہ ایک دن صفر کا بگ ہے جو کوسموس ایس ڈی پر Initia کے MoveVM سے متعلق ہے جس نے حملہ آور کو Initia L1 پر مزید ٹوکنز جاری کرنے کی اجازت دی لیکن یہ نیٹو INIT ٹوکنز پر لاگو نہیں ہوتا،” اس نے لکھا، اور اضافہ کیا کہ حملہ آور “چین کو روکنے سے پہلے تقریباً 2.7 ملین امریکی ڈالر کے AUSD، ETH، اور USDC کو جاری اور برج کر چکا تھا۔” شروعاتی قید اہم ہے۔ اشیا نے اب تک پوسٹ مارٹم نہیں جاری کیا ہے، اور اس کا باقاعدہ اکاؤنٹ نے آخری نقصان کا رقم تصدیق نہیں کیا ہے۔
MoveVM میں ایک دن-0 کی خرابی، نیٹیو ٹوکن میں نہیں
موو وی ایم وہ ورچوئل مشین ہے جو ایشیا پر اسمارٹ کنٹریکٹس کو انجام دیتی ہے۔ ایک دن-0 کی خرابی وہ ہوتی ہے جو اصل ڈیپلومنٹ میں شپ کی گئی تھی، اور ملکی کو فاؤنڈر کا ابتدائی تشخیص اسے کاسموز ایس ڈی کے اندر موو وی ایم کے ایشیا کے عمل میں موضع کرتا ہے۔ اس نے جو استعمال کیا وہ ٹوکن بیلنس بنانا تھا — عام طور پر جاری کرنے سے پہلے درکار اجازت کے بغیر۔ جس چیز کو خرابی نے چھوا نہیں، وہ اس بات سے زیادہ اہم ہے جسے اس نے چھوا۔ نیٹو INIT ٹوکن خرابی کے دائرہ سے باہر تھے، اس لیے واقعہ چین کے اپنے ٹوکن کی فراہمی میں اضافہ نہیں کر سکا۔
یہ سرحد اسے ایک غیر اختیاری مِنٹ کے بدترین پڑھائی سے الگ کرتی ہے۔ ایک حملہ آور جو اصل ٹوکن پرنٹ کرتا ہے، وہ ایک ساتھ ہر ہولڈر کو خاموشی سے کم کر دیتا ہے۔ ایک حملہ آور جو دیگر اثاثوں کے برجڈ رپریزینٹیشنز — جیسے AUSD، ETH اور USDC، جیسا کہ سہ-بنیان نے فہرست کیا — پرنٹ کرتا ہے، وہ ان رپریزینٹیشنز کے پیچھے موجود حقیقی کالٹیرل سے منظم ہوتا ہے۔ پہلے دن گردش کرنے والے دو نقصان کے اعداد و شمار یہ ظاہر کرتے ہیں کہ یہ پابندی کتنی جلدی حرکت کر گئی۔ اسپریک کا ابتدائی اندازہ تھا کہ نکالنا $2.6 ملین تھا جبکہ ٹرانسفرز ابھی حرکت کر رہے تھے؛ سہ-بنیان کا بعد میں دیا گیا رقم "$2.7m" تھا۔ تقریباً $100,000 کا فرق وہ رقم ہے جو پہلی رپورٹ کے بعد بھی حرکت کرتی رہی۔
کیسے ایک مِنٹ برج پر اصل پیسہ بن گیا
اینالٹیکس فرم D2 Finance کے ذریعے ڈیکوڈ کیا گیا لین دین کا سلسلہ 14:59:26 UTC پر شروع ہوتا ہے، جس میں Initia کی طرف سے 2,000,000 AUSD جاری کیے گئے۔ ایک سو پچاس تین سیکنڈ بعد، ایک LayerZero پیغام نے Ethereum کی طرف سے ایڈاپٹر سے 1.4 ملین اصل AUSD جاری کیا؛ 105 ETH 15:06:47 UTC پر آیا، اور مزید 1.08 ملین USDC Circle کے CCTP کے ذریعے Ethereum پر نئے جاری کیے گئے۔ D2 Finance کے ٹائم اسٹیمپس کے مطابق، جاری کرنے کے 7 منٹ اور 21 سیکنڈ کے اندر $2.65 ملین Ethereum پر واپس آ گئے — جس کا تقریباً فی سیکنڈ $6,000 کی شرح سے استخراج ہوا۔
یہ مکانیزم وہ حصہ ہے جسے پوسٹ مارٹم کو وضاحت کرنا ہوگا۔ ایشیا کے برج کردہ اثاثے OFT ایڈاپٹرز کے پیچھے ہوتے ہیں، جو لاک باکس معاہدے ہیں جو اصل ٹوکنز کو رکھتے ہیں اور انہیں جب مطابقت رکھنے والی ایشیا طرف کی بیلنس جلائی جائے تو جاری کرتے ہیں۔ ایڈاپٹر یہ تصدیق کر سکتا ہے کہ ٹوکنز جلائے گئے تھے؛ لیکن D2 فنانس کے تناظر میں، یہ “جائزہ لے سکتا ہے کہ جلائے گئے ٹوکنز کبھی پشت پناہ تھے یا نہیں”۔ اس لیے حملہ آور نے ایک بے پشت دعویٰ تخلیق کیا، اسے جلا دیا، اور اصل ضمانت حاصل کر لی۔ D2 فنانس نے یہ بھی نوٹ کیا کہ جلاؤ کو ختم کرنے والا رول بیک جاری کردہ رقم کو ختم نہیں کرے گا، جس کی وجہ سے مکمل کرنا سوال اب بھی کھلا ہے۔ برج بمقابلہ پشت پناہ کا ناکام ہونا اس ایکو سسٹم میں پہلے ہی مقدمات کا باعث بن چکا ہے، جس میں Kelp DAO اور LayerZero کے درمیان $292 ملین rsETH تنازع بھی شامل ہے۔
اگورا کا کہنا ہے کہ وہ کبھی ایشیا پر نہیں تھا
سب سے زیادہ واضح جواب اگورا، AUSD اسٹیبل کوائن کے جاری کنندہ نے دیا۔ “اگورا کے پاس Initia پر کوئی اسمارٹ کنٹریکٹ نہیں ہے،” کمپنی نے لکھا۔ “ہماری سیکورٹی ٹیم صورتحال کا جائزہ لے رہی ہے اور وہ اس ہیکر ایڈریسز سے متعلق فنڈز کو فریز کر دے گی جن میں AUSD/Agora اسمارٹ کنٹریکٹس والی چینز پر AUSD ہے۔” یہ بیان جاری کنندہ کو حملے سے الگ کرتا ہے اور اسی دوران تصدیق کرتا ہے کہ Initia پر جاری کیے گئے 2 ملین “AUSD” کبھی اگورا کا اپنا ٹوکن نہیں تھا۔
یہ مضمون کا مرکزی تنازع ہے۔ ایک ٹکر دو چینز پر “AUSD” پڑھا جا سکتا ہے اور دونوں کا مطلب مختلف ہو سکتا ہے — ایک چین پر Agora کی اپنی نیٹو اجارہ، اور دوسرے چین پر اس کی پُل کی گئی نمائندگی۔ حملہ آور نے دوسرے کا استعمال کیا۔ Agora کی تصدیق یہ ہے کہ وہ اپنے اصل کنٹریکٹس والے چینز پر فنڈز کو فریز کر سکتا ہے؛ باقی خطرہ یہ ہے کہ پُل کی گئی نمائندگی ایڈاپٹر کے لُک باکس میں محفوظ کیے گئے اصل AUSD سے پشتیبان تھی، اور وہ اصل AUSD پہلے ہی منتقل ہو چکا ہے۔ Cosmos بنیادی نیٹ ورکس نے پہلے بھی اس خرابی کو دیکھا ہے۔ اکتوبر میں، Cosmos Labs نے EVM چینز کو KiiChain کے $148 ملین کے حملے کے بعد روکنے کا مطالبہ کیا، جو یہ ظاہر کرتا ہے کہ مِنٹ اور برج حملے ایکو سسٹم میں ایک منفرد خرابی نہیں بلکہ باقاعدہ خرابی کا انداز بن چکے ہیں۔
پوز کیا کرتا ہے، اور وہ کیا جواب نہیں دے سکتا
ایک مکمل چین ہالٹ نیٹ ورک کا سب سے زیادہ بے رحم اوزار ہے، اور ایشیا نے اسے جان بوجھ کر استعمال کیا۔ اکثریت کو روکنا حملہ آور کو مزید مینٹ اور بریج کرنے سے روکتا ہے، لیکن یہ نیٹ ورک پر ہر قانونی صارف، ایپلیکیشن اور والیڈیٹر کو بھی فریز کر دیتا ہے۔ اس تجارت کا صرف taba ہی معنی رکھتا ہے اگر ٹیم نے یہ جج کیا ہو کہ اس اسپلوٹ سے فنڈز کا جاری رہنا جاری رہے گا، جو ابتدائی “فنڈز اب بھی منتقل ہو رہے ہیں” کا الفاظ سے ظاہر ہوتا ہے۔
برازار نے اس واقعے کو محدود سمجھا۔ INIT، نیٹیو ٹوکن، 23 اکتوبر کو کوائن جیکو کے مطابق تقریباً 0.115 ڈالر تک گر گیا، جس کے بعد 0.15 ڈالر سے زیادہ واپس آ گیا — ایک ایسا ردِ عمل جو ایک محدود، غیر ڈائلوٹو ایکسپلوٹ کے ساتھ مطابقت رکھتا ہے، نہ کہ ایک سپلائی شاک کے۔ جو کچھ باقی ہے، وہ عملی طور پر کھلا ہے۔ اِنیشیا نے کوئی دوبارہ شروع کرنے کی تاریخ نہیں طے کی ہے، اور اس کا افسرانہ اکاؤنٹ نے آخری نقصان کا مجموعہ یا کوئی خاص ٹیکنیکل وجوہات کی تصدیق نہیں کی ہے۔ واقعے کے بعد سے زیادہ سے زیادہ چھ گھنٹے تک چین روکا ہوا تھا، بلوک ہائٹ 23365925 پر پھنسا ہوا تھا۔
اگلا کیا دیکھنا ہے وہ عملی ہے، تکنیکی نہیں۔ اینیشیا کہتی ہے کہ وہ اپنے سرکاری چینلز کے ذریعے تصدیق شدہ معلومات شیئر کرے گی، اور ایک مکمل تجزیہ جس میں بالکل MoveVM کی خامی اور مکمل کرنے کی منصوبہ بندی کا نام لیا جائے گا، اگلا حقیقی سگنل ہوگا۔ اس تک تصدیق شدہ حقائق مندرجہ ذیل ہیں: ایک چین بند ہو گئی، ایک ملکوش کے ابتدائی تشخیص نے دن-0 MoveVM بگ کو ظاہر کیا، اور تقریباً 2.7 ملین امریکی ڈالر کے پل کردہ اثاثے ایتھریم کے لیے چلے گئے، جب تک کسی نے نیٹ ورک کو روکنے کا فیصلہ نہیں کیا۔
اطلاعیہ: یہ مضمون سرمایہ کاری کی تجویز نہیں ہے۔ اس صفحہ پر شامل مواد اور معلومات صرف تعلیمی مقاصد کے لیے ہیں۔