Initia hat seine Layer-1-Blockchain und alle verbundenen Rollups gestoppt, nachdem ein Angreifer eine bisher unbekannte Softwareschwachstelle ausnutzte, um unbefugt Tokens zu minten und rund 2,7 Millionen US-Dollar in Kryptowährungen aus Cross-Chain-Bridge-Reserven abzuziehen.

Das Netzwerk stellte die Transaktionsverarbeitung am 23. Oktober 2026 um 15:41:30 UTC ein, sodass Nutzer keine Transaktionen mehr über Initias vernetzte Blockchain-Infrastruktur abwickeln konnten. Als die Validatoren die Notabschaltung koordinierten, hatte der Angreifer bereits AUSD, Ethereum (ETH) und USDC zu Ethereum bewegt.

Initia-Mitgründer Ezaan Mangalji identifizierte eine bisher unbekannte Schwachstelle in der Implementierung der Move Virtual Machine (MoveVM) des Netzwerks auf dem Cosmos SDK, wie in einem X-Post erläutert. Die Schwachstelle ermöglichte die unbefugte Erstellung von Tokens auf der Basis-Blockchain, erlaubte dem Angreifer jedoch nicht, zusätzliche native INIT-Token zu minten.

Angreifer mintte nicht hinterlegte Tokens und leerte Bridge-Reserven

Der Exploit begann gegen 14:59 UTC, als der Angreifer bösartige Transaktionen ausführte, die nicht hinterlegte Abbildungen von Vermögenswerten erzeugten, die normalerweise über Cross-Chain-Bridges in Initia übertragen werden.

Eine On-Chain-Untersuchung von Bitquery führte rund 7,48 Millionen US-Dollar in unbefugt erstellten Tokens zum Nennwert zurück, ausgeführt in vier Chargen innerhalb von 13 Sekunden. Ein großer Teil dieses Betrags bestand jedoch aus synthetischem iUSD, das nicht zum angegebenen Wert eingelöst werden konnte.

Dem Angreifer gelang es, approximately 2,73 Millionen US-Dollar in realen Vermögenswerten aus den Bridge-Reserven abzuziehen, die AUSD, ETH und USDC auf Initia hinterlegen. Die Abhebungen nutzten das Verhältnis zwischen auf Initia ausgegebenen Tokens und den auf anderen Netzwerken gehaltenen zugrunde liegenden Assets aus: Unbefugte Guthaben konnten über ansonsten legitime Bridge-Transaktionen verbrannt werden, wodurch echte Kryptowährungen aus den entsprechenden Reserven freigesetzt wurden.

Etwa 1,4 Millionen AUSD und 105 ETH wurden über Ethereum-seitige LayerZero-Adapter freigegeben, während weitere 1,08 Millionen USDC über Nobles und Circles Cross-Chain Transfer Protocol (CCTP) bewegt wurden. Die gestohlenen Assets wurden anschließend in rund 1.135,5 ETH umgewandelt und in einer Ethereum-Wallet gebündelt.

Der Vorfall folgt auf den [Cysic-Bridge-Exploithttps://cryptoadventure.com/cysic-halts-bridge-after-10-million-cys-exploit-sends-727k-to-ethereum/), bei dem ein Angreifer 10 Millionen unbefugte CYS-Token mintte und Erlöse von rund 727.000 US-Dollar zu Ethereum transferierte.

USDC-Reserve fast geleert, während Agora reagiert

Der Angriff reduzierte die Liquidität, die Initias gebridgte Assets absichert, erheblich und führte zu sofortigen Auszahlungsproblemen für legitime Nutzer. Nobles USDC-Reserve, die anfänglich rund 1,09 Millionen US-Dollar hielt, fiel während des Vorfalls und der darauffolgenden Abhebungen auf nur noch 63 US-Dollar. Das erschöpfte Guthaben verhinderte weitere Einlösungen; vor der Netzwerkabschaltung wurden 55 erfolglose Auszahlungsversuche registriert, viele davon mit wiederholten Anfragen desselben Trading-Bots.

Die Ethereum-seitige ETH-Reserve verlor rund 96 % ihrer Bestände, während der AUSD-Adapter um etwa 71 % geleert wurde.

Ähnliche Reserven-Schwachstellen hatten zuvor das Liquid Network betroffen, das seinen Betrieb im September aussetzte, nachdem fast 4.000 BTC über einen unbefugten Peg-Out aus seiner Föderations-Wallet abgeflossen waren.

Agora, der Emittent von AUSD, bestätigte auf X, dass seine eigene Stablecoin-Infrastruktur nicht betroffen ist. Das Unternehmen hat keine nativen AUSD-Verträge auf Initia deployed, und seine bestehenden Stablecoin-Reserven bleiben vollständig hinterlegt. Dies unterscheidet die betroffene Initia-seitige AUSD-Darstellung und die Bridge-Reserven von Agoras nativen AUSD-Verträgen und bestehenden Stablecoin-Reserven. Agora kündigte zudem an, mit dem Angreifer verknüpfte AUSD-Guthaben auf unterstützten Netzwerken einzufrieren. Die gestohlenen AUSD waren jedoch bereits vor dieser Maßnahme in ETH umgewandelt worden, und ein vollständiges Einfrieren dieser Erlöse wurde bislang nicht erreicht.

Börsen setzen INIT-Transfers aus, während die Untersuchung läuft

Die südkoreanische Börse Upbit setzte nach dem Sicherheitsvorfall vorübergehend INIT-Einzahlungen und -Auszahlungen aus und veröffentlichte einen Handelshinweis. Der Spotthandel wurde im Rahmen dieser ersten Maßnahme nicht ausgesetzt. Auch KuCoin setzte die INIT-Einzahlungen und -Auszahlungen am 24. Oktober aus, mit Verweis auf wesentliche Netzwerkwartung, wie aus einer offiziellen Ankündigung hervorgeht.

Initia, das die Abschaltung auf X ankündigte, arbeitet mit Sicherheitsspezialisten, Validatoren und Kryptobörsen zusammen, um den vollen Umfang der Schwachstelle zu ermitteln und die Verluste über die betroffenen Bridges hinweg abzuschätzen. Die Untersuchung hat bislang weder eine endgültige Verlustsumme, eine vollständige technische Ursache noch eine Entschädigungsregelung für betroffene Nutzer ergeben. Ein Patch oder ein bestätigter Termin für einen Netzwerk-Neustart wurden nicht bekannt gegeben.

Initia hat Nutzer gewarnt, inoffizielle Wiederherstellungslinks und verdächtige Nachrichten zu meiden, während die Layer-1-Blockchain und die verbundenen Rollups ausgesetzt bleiben.