Initia、270万ドルのMoveVMトークン不正鋳造攻撃を受けネットワークを停止
重要ポイント
- •攻撃者は2026年10月23日14:59 UTC頃、Cosmos SDK上のInitiaのMove Virtual Machine実装における未知の脆弱性を悪用して不正トークンの鋳造を開始し、約42分後にバリデーターがネットワークを停止させました。
- •Bitqueryのオンチェーン調査では、13秒間に4回のバッチで実行された、名目額にして約748万ドル相当の不正トークン鋳造が確認されました。その多くは額面価格での引き換えが不可能な合成iUSDで構成されていました。
- •攻撃者はAUSD、ETH、USDCを裏付けるブリッジ準備資産から約273万ドル相当の実際の資産を引き出し、その後Ethereumのウォレットに集約された約1,135.5 ETHに換算しました。
- •攻撃によりNobleのUSDC準備資産は約109万ドルから63ドルへ減少しました。Ethereum側のETH準備資産は約96%を失い、AUSDアダプターも約71%が流出しました。
- •UpbitとKuCoinはINITの入出金を停止し、Agoraは自社のネイティブAUSDインフラが十分に裏付けられたままであると述べ、攻撃者に関連する残高の凍結を約束しましたが、盗まれたAUSDは凍結完了前にETHへ換算されていました。
Initiaは、攻撃者が未知のソフトウェア脆弱性を悪用して不正なトークンを鋳造し、クロスチェーンブリッジの準備資産から約270万ドル相当の暗号資産を引き出したことを受け、レイヤー1ブロックチェーンと接続するすべてのロールアップを停止しました。
ネットワークは2026年10月23日15:41:30 UTCにトランザクション処理を停止し、ユーザーはInitiaの相互接続されたブロックチェーンインフラ上で取引できなくなりました。バリデーターが緊急停止を調整した時点で、攻撃者はすでにAUSD、Ethereum（ETH）、USDCをEthereumへ移動させていました。
Initiaの共同創設者Ezaan Mangaljiは、Xへの投稿の中で、Cosmos SDK上のMove Virtual Machine（MoveVM）実装における未知の欠陥を特定したと述べました。この脆弱性によりベースブロックチェーン上で不正なトークン発行が可能となりましたが、ネイティブトークンINITの追加鋳造はできませんでした。
攻撃者が無担保トークンを鋳造しブリッジ準備資産を流出
攻撃は14:59 UTC頃に開始され、攻撃者は悪意のあるトランザクションを実行して、通常クロスチェーンブリッジ経由でInitiaに転送される資産の無担保な表現を生成しました。
Bitqueryによるオンチェーン調査では、13秒間に4回のバッチで実行された、名目額にして約748万ドル相当の不正トークン鋳造が確認されました。ただし、その額の多くは、額面価格での引き換えができない合成iUSDで構成されていました。
攻撃者は、Initia上のAUSD、ETH、USを裏付けるブリッジ準備資産から、実際の資産約273万ドル相当を引き出すことに成功しました。この引き出しは、Initia上で発行されたトークンと他のネットワークに保管された基礎資産との関係を悪用したもので、不正な残高を一見正当なブリッジトランザクションを通じてバーンすることで、対応する準備資産から実際の暗号資産を解放できました。
約140万AUSDと105 ETHがEthereum側のLayerZeroアダプターを通じて解放され、さらに108万USDCがNobleとCircleのCross-Chain Transfer Protocol（CCTP）を通じて移動しました。盗まれた資産はその後、約1,135.5 ETHに換算され、Ethereumのウォレットに集約されました。
本件は、Cysicのブリッジ攻撃に続くもので、この際は攻撃者が1,000万の不正CYSトークンを鋳造し、約72.7万ドル相当の利益をEthereumへ移しました。
Agoraが対応する中、USDC準備資産がほぼ枯渇
この攻撃によりInitiaのブリッジ資産を裏付ける流動性が大幅に減少し、正当なユーザーが出金の問題に直面しました。NobleのUSDC準備資産は、当初約109万ドルを保有していましたが、事件とその後の出金によりわずか63ドルまで減少しました。残高の枯渇により追加の引き換えは不可能となり、ネットワーク停止までに55件の出金失敗が記録され、その多くは同一のトレーディングボットによる繰り返しのリクエストでした。
Ethereum側のETH準備資産は保有量の約96%を失い、AUSDアダプターも約71%が流出しました。
同様の準備資産の脆弱性は、以前にLiquid Networkにも影響を及ぼしており、同ネットワークは9月に不正なペグアウトにより約4,000 BTCが連合ウォレットから流出した後、運用を停止しました。
AUSDの発行体であるAgoraは、X上で確認したところによると、自社のステーブルコインインフラは影響を受けていないとしています。同社はInitia上にネイティブのAUSDコントラクトをデプロイしておらず、既存のステーブルコイン準備資産は十分に裏付けられたままです。これは、影響を受けたInitia側のAUSD表現およびブリッジ準備資産と、AgoraのネイティブAUSDコントラクトおよび既存のステーブルコイン準備資産とを区別するものです。Agoraはまた、対応ネットワーク上で攻撃者に関連するAUSD残高の凍を約束しました。ただし、盗まれたAUSDはその対応以前にETHへ換算されており、これらの資金の凍結が完了したという報告はありません。
調査継続の中、取引所がINITの送金を停止
韓国の取引所Upbitは、本セキュリティインシデントを受けてINITの入出金を一時停止し、取引注意銘柄のお知らせを発行しました。この初動では現物取引は停止されていません。KuCoinも10月24日、公式発表によると、必要なネットワークメンテナンスを理由にINITの入出金を停止しました。
Xで停止を発表したInitiaは、セキュリティ専門家、バリデーター、暗号資産取引所と協力して、脆弱性の全容を把握し、影響を受けたブリッジ全体の損失を評価しています。調査では、最終的な損失額、完全な技術的根拠、影響を受けたユーザーへの補償スキームはまだ確定していません。パッチのリリースや確認済みのネットワーク再開日時も発表されていません。
Initiaは、レイヤー1ブロックチェーンと接続するロールアップが停止している間、非公式の復旧リンクや不審なメッセージを避けるようユーザーに警告しています。
