Initia 在遭遇 2.7M 個代幣鑄造漏洞後暫停 L1 和 Rollups

Initia 於 10 月 23 日 15:41:30 UTC 停止產生區塊，這是在攻擊者無中生有地鑄造了 2,000,000 AUSD 大約四十二分鐘後，以及匿名研究人員 Spreek 在鏈上標記該活動十四分鐘後。該專案的首份公告稱此為「安全事件」，但未提及任何具體機制。這些機制在接下來的一天內逐步浮現，綜合起來描述的是一種比供應衝擊更狹窄、比常見漏洞更精準的事件：一筆未經授權的鑄造行為，一旦觸及橋樑，便立即變成了真實貨幣。

截至 2026 年 10 月 23 日下午 3:41:30（UTC），由於安全事件，Initia L1 和 Rollups 已暫停運行。我們的團隊正在積極調查情況，並與安全團隊、驗證者和交易所合作，以確定任何影響的完整範圍。我們將透過官方渠道發布經過核實的資訊，敬請留意。在此期間，請對流傳的非官方連結、訊息或聲明保持警惕。

— Initia (@initia) October 23, 2026

Initia 是一座基於 Cosmos SDK 建構的第 1 層區塊鏈，其上運行著一組稱為 Minitias 的互聯滾動鏈。因此，基礎鏈的中斷會導致整個系統離線，而非單一應用程式。首份公告未提及的細節，由共同創辦人 Ezaan Mangalji 單獨補充：「據我們目前所知，這是一個與 Initia 在 Cosmos SDK 上的 MoveVM 相關的 Day 0 漏洞，允許攻擊者在 Initia L1 上鑄造額外代幣，但不適用於原生 INIT 代幣，」他寫道，並補充說攻擊者「在鏈被暫停前，成功鑄造並橋接出約 270 萬美元的 AUSD、ETH 和 USDC。」開頭的限定語至關重要。Initia 尚未發布事後分析報告，其官方帳戶也未確認最終損失金額。

MoveVM 是用於在 Initia 上執行智能合約的虛擬機器。Day-0 漏洞是指在原始部署時已存在的漏洞，聯合創始人的初步診斷將其定位在 Initia 對 Cosmos SDK 中 MoveVM 的實現中。此漏洞所允許的攻擊是鑄造——在未經通常所需授權的情況下創建代幣餘額。漏洞未觸及的內容與其已觸及的內容同樣重要：原生 INIT 代幣未受此攻擊影響，因此該事件並未增加該鏈自身代幣的供應量。

該界限將此情況與未經授權鑄造的最糟糕情況區分開來。攻擊者若鑄造原生代幣，將會悄無聲息地稀釋所有持倉者的資產。而攻擊者若鑄造其他資產的橋接表示形式——如聯合創始人所列的 AUSD、ETH 和 USDC——則會受到這些表示背後實際抵押品的限制。第一天流傳的兩組損失數字顯示了該限制的快速變化。Spreek 的早期估計在轉帳仍在進行時將套現金額定為 260 萬美元；而聯合創始人後期的數字為「約 270 萬美元」。約 10 萬美元的差距，正是第一份報告發布後仍在流動的資金。

由分析公司 D2 Finance 解碼的交易軌跡，始於一個在 14:59:26 UTC 簽署的交易，該交易在 Initia 側鑄造了 2,000,000 AUSD。153 秒後，一個 LayerZero 消息從以太坊側的適配器釋放了 140 萬真實 AUSD；105 ETH 於 15:06:47 UTC 到達，另有 108 萬 USDC 透過 Circle 的 CCTP 作為新鑄幣到達以太坊。根據 D2 Finance 的時間戳，距離鑄造後僅 7 分鐘 21 秒，265 萬美元已返回以太坊，期間的提取速率約為每秒 6,000 美元。

該機制是事後分析必須解釋的部分。Initia 的橋接資產位於 OFT 適配器之後，這些鎖箱合約持有真實代幣，並在對應的 Initia 端餘額被焚毀時釋放它們。適配器可以驗證代幣是否被焚毀，但根據 D2 Finance 的說法，無法「檢查被焚毀的代幣是否曾有Backing」。因此，攻擊者發行了一筆無Backing的聲稱，將其焚毀並收取了真實抵押品。D2 Finance 還指出，即使回滾會抹除焚毀記錄，也不會抹除釋放記錄，這就是為何「補償」問題仍懸而未決的原因。橋接與Backing之間的失敗已在該生態中引發訴訟，包括 Kelp DAO 與 LayerZero 之間的 $292 million rsETH 爭議。

最有力的回應來自 AUSD 穩定幣的發行方 Agora。「Agora 在 Initia 上未部署任何智能合約，」該公司寫道。「我們的安全團隊一直在監控此情況，並將凍結在已部署 AUSD/Agora 智能合約的鏈上、持有 AUSD 的駭客地址相關資金。」此聲明將發行方與此次攻擊事件劃清界線，同時也確認了在 Initia 上鑄造的 200 萬枚「AUSD」從未是 Agora 自有的代幣。

這正是文章的核心張力。一個代幣符號在兩個鏈上都顯示為“AUSD”，但代表的意義卻不同——一個是Agora在該鏈上的原生發行，另一個則是其跨鏈表示。攻擊者利用了後者。Agora的保證是，它仍能在其真實合約所在的鏈上凍結資金；剩餘風險在於，該跨鏈表示背後由適配器金庫中持有的真實AUSD支持，而這些真實AUSD已經被轉移。基於Cosmos的網絡此前已遭遇過此類失敗。今年十月，Cosmos Labs曾敦促EVM鏈在KiiChain遭1.48億美元攻擊後暫停運作，這表明鑄造與跨鏈攻擊已成為生態系統中反覆出現的故障模式，而非單一漏洞。

完全的鏈中止是網絡最直接的工具，而 Initia 有目的地使用了它。停止共識可以阻止攻擊者繼續鑄造和跨鏈，但同時也會凍結網絡上所有合法用戶、應用程式和驗證者。只有在團隊判斷漏洞會持續耗盡資金時，這種取捨才有意義，而早期「資金仍在流動」的表述暗示了情況確實如此。

市場將此事件視為已受控。根據 CoinGecko 數據，原生代幣 INIT 於 10 月 23 日跌至約 $0.115，隨後反彈至 $0.15 以上——這種反應與有限且非稀釋性的漏洞相符，而非供應衝擊。目前尚未解決的是運營問題：Initia 尚未設定重啟日期，其官方帳戶也未確認最終損失總額或具體技術原因。該鏈在事件發生六小時以上後仍處於中斷狀態，區塊高度停留在 23365925。

接下來值得关注的內容是程序性的，而非猜測性的。Initia 表示將透過其官方渠道分享經過驗證的資訊，而一份詳細說明具體 MoveVM 漏洞及補救計劃的事後報告，將是下一個真正的信號。在此之前，確認的事實範圍仍小於流傳的數字：一條鏈被中止，聯合創始人的初步診斷指向 Day-0 MoveVM 漏洞，且在任何人能停止網路之前，約有 270 萬美元的橋接資產已轉至以太坊。