Initia heeft zijn Layer 1-blockchain en alle verbonden rollups stilgelegd nadat een aanvaller een eerder onbekende softwarefout misbruikte om ongeautoriseerde tokens te minten en ongeveer $2,7 miljoen aan cryptocurrency uit cross-chain bridge-reserves te onttrekken.

Het netwerk stopte om 15:41:30 UTC op 23 oktober 2026 met het verwerken van transacties, waardoor gebruikers niet konden transacteren binnen Initia's onderling verbonden blockchain-infrastructuur. Op het moment dat validators de noodstop coördineerden, had de aanvaller al AUSD, Ethereum (ETH) en USDC naar Ethereum verplaatst.

Initia-medoprichter Ezaan Mangalji identificeerde een eerder onbekend fout in de implementatie van de Move Virtual Machine (MoveVM) van het netwerk op Cosmos SDK, zoals vermeld in een X-post. De kwetsbaarheid maakte ongeautoriseerde tokencréatie op de basisblockchain mogelijk, maar stelde de aanvaller niet in staat om extra native INIT-tokens te minten.

Aanvaller mintte ongedekte tokens en leegde bridge-reserves

De exploit begon rond 14:59 UTC, toen de aanvaller kwaadaardige transacties uitvoerde die ongedekte representaties genereerden van assets die normaal via cross-chain bridges naar Initia worden overgebracht.

Een on-chain onderzoek door Bitquery bracht ongeveer $7,48 miljoen aan ongeautoriseerde tokencréatie tegen nominale waarde in kaart, uitgevoerd in vier batches over 13 seconden. Een groot deel van dat bedrag bestond echter uit synthetische iUSD die niet tegen de opgegeven waarde kon worden ingewisseld.

De aanvaller onttrok met succes ongeveer $2,73 miljoen aan echte assets uit de bridge-reserves die AUSD, ETH en USDC op Initia dekken. De opnames maakten misbruik van de relatie tussen tokens die op Initia zijn uitgegeven en de onderliggende assets die op andere netwerken worden aangehouden: ongeautoriseerde saldo's konden worden verbrand via anders legitieme bridge-transacties, waardoor echte cryptocurrency uit de bijbehorende reserves vrijkwam.

Ongeveer ,4 miljoen AUSD en 105 ETH werden vrijgegeven via LayerZero-adapters aan de Ethereum-kant, terwijl nog eens 1,08 miljoen USDC werd verplaatst via Noble en Circle's Cross-Chain Transfer Protocol (CCTP). De gestolen assets werden vervolgens omgezet in ongeveer 1.135,5 ETH en gebundeld in een Ethereum-portemonnee.

Het incident volgt op de Cysic bridge-exploit, waarbij een aanvaller 10 miljoen ongeautoriseerde CYS-tokens mintte en ongeveer $727.000 aan opbrengsten naar Ethereum overmaakte.

USDC-reserve bijna leeg terwijl Agora reageert

De aanval verminderde de liquiditeit die Initia's gebrugde assets dekt aanzienlijk, wat directe opnameproblemen veroorzaakte voor legitieme gebruikers. De USDC-reserve van Noble, die aanvankelijk ongeveer $1,09 miljoen bedroeg, zakte tijdens het incident en de daaropvolgende opnames naar slechts $63. Het uitgeputte saldo verhinderde verdere inwisselingen, en er werden 55 mislukte opnamepogingen geregistreerd voordat het netwerk werd stilgelegd, waarvan vele met herhaalde verzoeken van dezelfde handelsbot.

De ETH-reserve aan de Ethereum-kant verloor ongeveer 96% van zijn bezittingen, terwijl de AUSD-adapter met roughly 71% werd geledigd.

Vergelijkbare reservekwetsbaarheden troffen eerder al het Liquid Network, dat in september de operaties staakte nadat bijna 4.000 BTC de federatie-portemonnee had verlaten via een ongeautoriseerde peg-out.

Agora, de uitgever van AUSD, bevestigde op X dat zijn eigen stablecoin-infrastructuur niet was getroffen. Het bedrijf heeft geen native AUSD-contracten op Initia uitgebracht, en de bestaande stablecoin-reserves blijven volledig gedekt. Dit onderscheidt de getroffen AUSD-representatie en bridge-reserves aan de Initia-kant van Agora's native AUSD-contracten en bestaande stablecoin-reserves. Agora heeft zich ook verplicht om met de aanvaller gelinkte AUSD-saldi op ondersteunde netwerken te bevriezen. De gestolen AUSD was echter al in ETH omgezet vóór die ingreep, en er is geen voltooide bevriezing van die opbrengsten tot stand gekomen.

Beurzen schorsen INIT-overdrachten terwijl onderzoek voorturt

De Zuid-Koreaanse beurs Upbit schorste na het beveiligingsincident tijdelijk INIT-stortingen en -opnames en gaf een handelswaarschuwing uit. Spot trading werd bij die eerste maatregel niet geschorst. KuCoin schorste ook INIT-stortingen en -opnames op 24 oktober, met verwijzing naar essentieel netwerkonderhoud, volgens een officiële aankondiging.

Initia, dat de stillegging op X aankondigde, werkt samen met beveiligingsspecialisten, validators en cryptocurrencybeurzen om de volledige omvang van de kwetsbaarheid te bepalen en de verliezen over de getroffen bridges te beoordelen. Het onderzoek heeft nog geen definitief financieel verlies, een volledige technische oorzaak of een compensatieregeling voor getroffen gebruikers vastgesteld. Er is nog geen patch vrijgegeven en er is geen bevestigde herstartdatum aangekondigd.

Initia heeft gebruikers gewaarschuwd officiële herstelinterfaces en verdachte berichten te vermijden zolang de Layer 1-blockchain en verbonden rollups zijn stilgelegd.