Initia tạm dừng L1 và Rollups sau vụ khai thác $2,7 triệu

Initia ngừng tạo khối vào lúc 15:41:30 UTC ngày 23 tháng 10, khoảng bốn mươi hai phút sau khi một kẻ tấn công tạo ra 2.000.000 AUSD từ hư vô và mười bốn phút sau khi nhà nghiên cứu ẩn danh Spreek phát hiện hoạt động này trên chuỗi. Thông báo đầu tiên của dự án gọi đây là “một sự cố bảo mật” và không đề cập đến bất kỳ cơ chế nào. Những cơ chế này dần được tiết lộ từng phần trong ngày tiếp theo, và khi gộp lại, chúng mô tả một sự việc hẹp hơn một cú sốc cung cấp và sắc nét hơn một lỗi thông thường: một hành động tạo tiền không được phép trở thành tiền thật ngay khi chạm vào cầu nối.

Tính đến 15:41:30 UTC ngày 23 tháng 10 năm 2026, Initia L1 và Rollups đã bị tạm dừng do sự cố bảo mật. Đội ngũ của chúng tôi đang tích cực điều tra tình hình và làm việc để xác định đầy đủ phạm vi ảnh hưởng cùng các đội ngũ bảo mật, người xác thực và các sàn giao dịch. Chúng tôi sẽ chia sẻ thông tin đã xác minh thông qua các kênh chính thức khi có sẵn. Vui lòng cảnh giác với các liên kết, tin nhắn hoặc tuyên bố không chính thức đang được lan truyền trong thời gian này.

— Initia (@initia) October 23, 2026

Initia là một blockchain lớp-1 được xây dựng trên Cosmos SDK, vận hành một mạng lưới các rollup liên kết mà nó gọi là Minitias. Việc dừng lại chuỗi cơ sở do đó làm toàn bộ hệ thống ngừng hoạt động, chứ không phải chỉ một ứng dụng đơn lẻ. Điều mà thông báo đầu tiên không đề cập đến, đồng sáng lập Ezaan Mangalji đã cung cấp riêng biệt. “Theo hiểu biết tốt nhất của chúng tôi cho đến nay, đây là một lỗi Day 0 liên quan đến MoveVM của Initia trên CosmosSDK, cho phép kẻ tấn công tạo ra thêm các token trên Initia L1 nhưng không áp dụng cho các token INIT bản địa,” anh viết, thêm rằng kẻ tấn công “đã có thể tạo ra và chuyển đổi ra ngoài khoảng $2,7 triệu giá trị của AUSD, ETH và USDC trước khi chuỗi bị tạm dừng.” Cụm từ mở đầu mang tính then chốt. Initia chưa công bố báo cáo phân tích sau sự cố, và tài khoản chính thức của họ chưa xác nhận con số tổn thất cuối cùng.

MoveVM là máy ảo thực thi các hợp đồng thông minh trên Initia. Một lỗi Day-0 là lỗi có sẵn trong bản triển khai ban đầu, và chẩn đoán sơ bộ của đồng sáng lập cho thấy nó nằm trong triển khai MoveVM của Initia trên Cosmos SDK. Lỗ hổng này cho phép tạo token — tạo số dư token mà không cần sự ủy quyền thường đi trước việc phát hành. Điều mà lỗi không ảnh hưởng quan trọng không kém điều mà nó đã tác động. Các token INIT bản địa nằm ngoài phạm vi khai thác, do đó sự cố không làm tăng nguồn cung của token riêng của chuỗi.

Biên giới đó phân biệt điều này với trường hợp đọc sai tệ nhất về việc đúc tiền không được ủy quyền. Một kẻ tấn công in ra token bản địa sẽ làm pha loãng ngay lập tức mọi người nắm giữ, một cách im lặng. Một kẻ tấn công in ra các đại diện được cầu nối của các tài sản khác — AUSD, ETH và USDC, như đồng sáng lập đã liệt kê — sẽ bị giới hạn bởi tài sản đảm bảo thực tế đứng sau những đại diện đó. Hai con số tổn thất được lưu hành trong ngày đầu tiên cho thấy mức độ nhanh chóng của ràng buộc này. Ước tính ban đầu của Spreek đặt mức rút tiền tại 2,6 triệu USD khi các khoản chuyển vẫn đang diễn ra; con số sau này của đồng sáng lập là “~2,7 triệu USD”. Khoảng cách khoảng 100.000 USD là số tiền vẫn tiếp tục di chuyển sau báo cáo đầu tiên.

Dấu vết giao dịch, được phân tích bởi công ty phân tích D2 Finance, bắt đầu với một giao dịch đã ký duy nhất lúc 14:59:26 UTC, tạo ra 2.000.000 AUSD trên phía Initia. Một trăm năm mươi ba giây sau, một thông điệp LayerZero giải phóng 1,4 triệu AUSD thật từ bộ điều hợp phía Ethereum; 105 ETH tiếp theo được chuyển đến lúc 15:06:47 UTC, và thêm 1,08 triệu USDC đã đến Ethereum dưới dạng các đồng được tạo mới thông qua CCTP của Circle. Theo thời gian của D2 Finance, 2,65 triệu USD đã quay trở lại Ethereum trong vòng 7 phút 21 giây kể từ khi tạo ra — tốc độ rút lui khoảng 6.000 USD mỗi giây trong suốt khoảng thời gian này.

Cơ chế này là phần mà báo cáo sau sự cố sẽ phải giải thích. Các tài sản được cầu nối của Initia nằm sau các bộ điều hợp OFT, là các hợp đồng khóa chứa các token thật và giải phóng chúng khi số dư tương ứng ở phía Initia bị đốt. Một bộ điều hợp có thể xác minh rằng các token đã bị đốt; nhưng theo cách nhìn của D2 Finance, nó không thể “kiểm tra xem các token đã đốt có từng được đảm bảo hay không.” Do đó, kẻ tấn công đã tạo ra một yêu cầu không được đảm bảo, đốt nó và thu về tài sản thế chấp thật. D2 Finance cũng lưu ý rằng việc phục hồi để xóa các giao dịch đốt sẽ không xóa các giao dịch giải phóng, đây là lý do tại sao câu hỏi về việc bồi thường đầy đủ vẫn còn bỏ ngỏ. Sự thất bại giữa cầu nối và sự đảm bảo đã dẫn đến các vụ kiện tụng trong hệ sinh thái này, bao gồm tranh chấp rsETH 292 triệu USD giữa Kelp DAO và LayerZero.

Câu trả lời sắc sảo nhất đến từ Agora, nhà phát hành stablecoin AUSD. “Agora không có bất kỳ hợp đồng thông minh nào được triển khai trên Initia,” công ty viết. “Đội ngũ bảo mật của chúng tôi đã theo dõi tình hình và sẽ phong tỏa các quỹ liên quan đến các địa chỉ hacker đang nắm giữ AUSD trên các chuỗi nơi hợp đồng thông minh AUSD/Agora được triển khai.” Tuyên bố này tách biệt nhà phát hành khỏi vụ khai thác, đồng thời xác nhận rằng 2 triệu “AUSD” được đúc trên Initia chưa bao giờ là token chính thức của Agora.

Đó là mâu thuẫn trung tâm của bài viết. Một mã ticker có thể hiển thị “AUSD” trên hai chuỗi và mang hai ý nghĩa khác nhau — phát hành bản gốc của Agora trên một chuỗi, và đại diện được cầu nối của nó trên chuỗi khác. Kẻ tấn công đã khai thác chuỗi thứ hai. Sự đảm bảo của Agora là nó vẫn có thể đóng băng quỹ trên các chuỗi nơi các hợp đồng thực sự của nó tồn tại; rủi ro còn sót lại là đại diện được cầu nối đó được đảm bảo bởi AUSD thật được giữ trong hộp khóa của bộ chuyển đổi, và AUSD thật đó đã được di chuyển rồi. Các mạng dựa trên Cosmos đã từng chứng kiến sự cố này trước đây. Vào tháng Mười, Cosmos Labs đã kêu gọi các chuỗi EVM ngừng hoạt động sau KiiChain’s $148 million exploit, cho thấy các cuộc tấn công phát hành và cầu nối đã trở thành một mô hình lỗi lặp đi lặp lại trong toàn bộ hệ sinh thái, thay vì chỉ là một lỗi đơn lẻ.

Việc dừng toàn bộ chuỗi là công cụ thô bạo nhất mà một mạng lưới có, và Initia đã chủ động sử dụng nó. Việc dừng đồng thuận ngăn kẻ tấn công không thể tạo ra và chuyển tiếp thêm, nhưng đồng thời cũng làm đóng băng mọi người dùng hợp lệ, ứng dụng và người xác thực trên mạng. Sự đánh đổi này chỉ hợp lý nếu đội ngũ nhận định rằng lỗ hổng có thể tiếp tục rút tiền, điều này được gợi ý qua ngôn ngữ ban đầu “tiền vẫn đang di chuyển”.

Thị trường xem sự cố này là đã được kiểm soát. INIT, token gốc, đã giảm xuống khoảng 0,115 USD vào ngày 23 tháng 10 trước khi phục hồi vượt quá 0,15 USD, theo dữ liệu từ CoinGecko — một phản ứng phù hợp với một lỗ hổng bị giới hạn và không làm pha loãng nguồn cung hơn là một cú sốc cung. Điều vẫn còn chưa rõ là hoạt động. Initia chưa đưa ra ngày khởi động lại, và tài khoản chính thức của họ chưa xác nhận tổng thiệt hại cuối cùng hoặc nguyên nhân kỹ thuật cụ thể. Chuỗi vẫn bị ngừng hơn sáu giờ sau sự cố, bị kẹt ở độ cao khối 23365925.

Điều cần theo dõi tiếp theo mang tính thủ tục hơn là suy đoán. Initia cho biết sẽ chia sẻ thông tin đã được xác minh thông qua các kênh chính thức của mình, và bản phân tích sau sự cố nêu rõ lỗ hổng MoveVM cụ thể cùng kế hoạch bù đắp thiệt hại sẽ là tín hiệu thực sự tiếp theo. Cho đến lúc đó, các sự thật đã xác nhận vẫn hẹp hơn các con số đang lan truyền: một chuỗi đã bị dừng, chẩn đoán sơ bộ của đồng sáng lập chỉ ra một lỗ hổng MoveVM Day-0, và khoảng 2,7 triệu USD tài sản được chuyển sang ethereum trước khi bất kỳ ai có thể dừng mạng lưới.