Initia, một blockchain cấp 1 và mạng roll-up mô-đun tích hợp, đã trải qua sự cố bảo mật nghiêm trọng vào ngày 23 tháng 10. Một kẻ tấn công được cho là đã khai thác lỗ hổng trong blockchain của nó để tạo token mà không được phép và rút tài sản thực từ các cầu liên chuỗi.
Theo cuộc điều tra, cuộc tấn công bắt đầu lúc 14:59:26 UTC khi kẻ tấn công sử dụng một giao dịch đã ký để tạo ra 2 triệu token AUSD từ hư vô trên Initia.
Giao dịch được báo cáo đã tiêu tốn 135.888 gas và gọi trực tiếp hàm ‘Move’, không cần thông điệp cầu nối liên chuỗi. Do đó, thay vì phá vỡ trực tiếp quy trình xác minh bảo mật của cầu nối, kẻ tấn công đã khai thác lỗ hổng trong cơ chế tạo token.
Tất cả về sự cố bảo mật của Initia
Tuy nhiên, kẻ tấn công không dừng lại ở đó. Thay vào đó, chúng đã khai thác cơ sở hạ tầng liên chuỗi để chuyển đổi các token không được ủy quyền này thành tài sản thực trên ethereum [ETH]. Vì vậy, khoảng 153 giây sau khi đúc ban đầu, một tin nhắn LayerZero hợp lệ đã kích hoạt việc giải phóng 1,4 triệu AUSD từ bộ điều hợp phía ethereum.
Cùng lúc đó, kẻ tấn công cũng đã rút 105 ETH từ bộ chuyển đổi ETH bản địa và nhận được 1,08 triệu USDC thông qua Giao thức Chuyển chéo chuỗi của Circle (CCTP). Theo nhà nghiên cứu, kẻ tấn công đã chuyển đổi số tiền này thành Ethereum thông qua các dịch vụ giao dịch phi tập trung, bao gồm 1inch và 0x.
Tại đây, trong vòng khoảng 7 phút kể từ lần phát hành ban đầu, khoảng 2,65 triệu USD đã được chuyển đến ethereum. Số tiền gộp sau đó đạt 1.135,52 ETH, tương đương khoảng 2,73 triệu USD, được giữ trong một ví mới được tạo.
Điều này dường như rất giống với sự cố mạng Liquid tháng Chín, nơi một lỗi phần mềm cho phép tạo ra L-BTC không được ủy quyền và rút bitcoin thực tế.
Như mong đợi, sự cố đã buộc Initia phải ngừng hoạt động blockchain L1 và các roll-up của mình. Tuy nhiên, dù có những biến động này, token INIT của Initia vẫn giao dịch ở mức 0,1484 USD vào thời điểm báo chí, tăng 11,7% trong 24 giờ qua.
Năm 2026 cho đến nay là một năm đầy khó khăn đối với các sự cố bảo mật như vậy. Thực tế, báo cáo gần đây của AMBCrypto cho thấy tổn thất bảo mật tiền điện tử đã tăng 55% lên 1,18 tỷ USD trong quý 3 năm 2026, trong khi số sự cố được báo cáo tăng từ 67 lên 107.
Tổng kết cuối cùng
- Giao dịch được báo cáo đã tiêu tốn 135.888 gas và gọi trực tiếp hàm ‘Move’, không cần thông điệp cầu nối liên chuỗi.
- Điều này rất giống với sự cố mạng Liquid vào tháng Chín, khi một lỗi phần mềm cho phép tạo ra L-BTC không được ủy quyền và rút bitcoin thật.