Według doniesień opisujących incydent blockchain Initia rzekomo całkowicie się zatrzymał, po tym jak atakujący miał wybić około 2,7 miliona dolarów nieautoryzowanych tokenów. Jak opisano, exploit dał atakującemu możliwość generowania nowej podaży z niczego — to klasa podatności, która podważa fundamentalne założenie ekonomiczne każdego protokołu: że emisja tokenów jest kontrolowana i ograniczona. Jeśli się to potwierdzi, będzie to jeden z najbardziej bezpośrednich ataków, jakich może doświadczyć sieć DeFi.

Kluczowe punkty w skrócie

• Zgodnie z doniesieniami o incydencie atakujący miał rzekomo „wydrukować” kryptowaluty o wartości około 2,7 miliona dolarów w sieci Initia. Na moment pisania tego tekstu nieautoryzowana emisja nie została niezależnie potwierdzona na poziomie łańcucha.
• Według doniesień blockchain Initia wstrzymał działanie, zakłócając transakcje, połączone aplikacje oraz wszelkie pozycje płynności zależne od sprawności sieci.
• Incydent pozostawia nierozstrzygnięte pytania dotyczące ścieżki podatności, zakresu dotkniętej podaży oraz procesu naprawy i odzyskiwania prowadzonego przez zespół. Użytkownicy powinni zweryfikować oficjalne kanały przed podjęciem jakichkolwiek działań.

Co się stało w Initii — i dlaczego łańcuch się zatrzymał

Raporty opisują, że atakujący wykorzystał mechanizm umożliwiający nieautoryzowane tworzenie tokenów — technikę powszechnie nazywaną w analizach powydarzeniowych „infinite mint” lub „print”. W przeciwieństwie do kradzieży, w której istniejące aktywa przenoszą się z jednego adresu na inny, nieautoryzowane bicie generuje nową podaż bez odpowiedniego zabezpieczenia ani autoryzacji protokołu. To rozróżnienie ma istotne znaczenie dla odzyskiwania: skradzione środki można w teorii zamrozić lub zwrócić, natomiast zawyżona podaż zanieczyszcza pozycje każdego istniejącego posiadacza, dopókio utworzone tokeny nie zostaną zidentyfikowane i odizolowane.

Podawana kwota 2,7 miliona dolarów oznacza wartość nominalną tokenów rzekomo wybitych bez autoryzacji — a nie środki wydobyte z tradycyjnie pojętego skarbca lub puli płynności. Czy atakujący zamienił jakąkolwiek część wybitej podaży na inne aktywa, takie jak USDC lub tokeny opakowane, przed zatrzymaniem łańcucha, pozostaje otwartym pytaniem. Takka konwersja utrwaliłaby rzeczywiste szkody ekonomiczne dla dostawców płynności i uczestników rynku po drugiej stronie tych transakcji.

Zgłaszane zatrzymanie łańcucha jest zgodne ze sposobem, w jaki sieci modularne oparte na Cosmos, takie jak Initia, reagują na zdarzenia zagrażające konsensusowi. Gdy walidatory wykryją niespójności stanu lub gdy zostanie osiągnięty krytyczny próg governance, sieć może zatrzymać się na poziomie bloku, zamrażając wszystkie oczekujące transakcje i przejścia stanu. Chociaż zatrzymanie chroni przed dalszym wykorzystaniem luki, zamraża również salda użytkowników, przerywa działanie mostów i blokuje każdy połączony rollup lub aplikację interchain zależną od sprawności Initii. Token Initia jest śledzony przez główne agregatory, a każde zakłócenie podaży związane z zatrzymaniem wpłynęłoby na odkrywanie cen na wszystkich platformach, które go notują.

Kluczowe szczegóły techniczne pozostają niepotwierdzone, w tym który moduł lub inteligentny kontrakt zawierał lukę, czy exploit wymagał uprzywilejowanego dostępu, czy był permissionless oraz na jakiej wysokości bloku łańcuch się zatrzymał. Oficjalny raport powydarzeniowy od zespołu Initia jest podstawowym dokumentem potrzebnym do odpowiedzi na te pytania. Dopóki raport nie zostanie opublikowany, wszelkie przypisywanie przyczyny źródłowej jest spekulacją.

Incydenty tego typu nie są bez precedensu w szerszym krajobrazie DeFi. Nieautoryzowane bicie pojawiało się w szeregu kompromitacji protokołów, w których logika kontroli dostępu, weryfikacja mostów lub moduły governance zawierały wady, które atakujący mógł wykorzystać do obejścia normalnej ścieżki emisji. W incydencie Cover Protocol z grudnia 2020 roku atakujący wykorzystał wadę w funkcji bicia tokenów do masowego zawyżenia podaży, a w ataku na BNB Bridge z października 2022 roku atakujący wybił przez most około dwóch milionów BNB, co skłoniło walidatory do zatrzymania łańcucha do czasu naprawy. Badacze bezpieczeństwa zauważają, że powierzchnie ataków inteligentnych kontraktów stale się rozszerzają w miarę dodawania przez protokoły funkcjonalności cross-chain i coraz bardziej złożonych interakcji między modułami.

Co incydent oznacza dla użytkowników, rynków i odzyskiwania

Dla posiadaczy bezpośrednim ryzykiem związanym z nieautoryzowanym biciem jest rozwodnienie podaży: jeśli nowe tokeny wejdą do obiegu bez zabezpieczenia, każda istniejąca jednostka tokenu stanowi mniejsze roszczenie do wartości bazowej protokołu. Skala problemu zależy całkowicie od tego, ile z rzekomo wybitych tokenów o wartości 2,7 miliona dolarów trafiło na otwarte rynki przed zatrzymaniem oraz czy zespół może cofnąć lub spalić nieautoryzowaną emisję w trakcie procesu odzyskiwania. W sieciach opych na Cosmos tego rodzaju naprawa zazwyczaj przyjmuje formę skoordynowanej aktualizacji oprogramowania lub propozycji governance wykonywanej przez walidatorów, co czyni frekwencję walidatorów i konsensus kluczowymi zmiennymi w każdym harmonogramie odzyskiwania. Oba scenariusze wymagają działania na łańcuchu, które nie zostało potwierdzone na moment pisania.

Aplikacje zbudowane na Initii — w tym wdrożone rollupy, pule płynności lub rynki pożyczkowe wykorzystujące natywne aktywa Initii jako zabezpieczenie lub rozliczenie — są zamrożone na czas zatrzymania. Użytkownicy z otwartymi pozycjami w tych protokołach nie mogą ich zamykać, dostosowywać ani z nich wychodzić, dopóki łańcuch nie wznowi działania. W zależności od tego, jak długo potrwa zatrzymanie, niemożność działania niesie własne ryzyko: ruchy cen powiązanych aktywów w czasie przestoju nie mogą być zabezpieczane pozycjami natywnymi Initii.

Aktywność handlowa na scentralizowanych i zdecentralizowanych platformach notujących token Initia może również odzwierciedlać niepewność co do końcowego stanu podaży. Platformy, które zawiesiły wpłaty lub wypłaty w oczekiwaniu na wznowienie działania łańcucha, skutecznie tworzą rynek dwupoziomowy: użytkownicy trzymający tokeny on-chain są zablokowani, podczas gdy użytkownicy z saldami na giełdach nadal mogą handlować. Ta asymetria historycznie powodowała znaczne zaburzenia cenowe w okresach incydentów, gdyż posiadacze płynności dyskontują aktywo w celu odzwierciedlenia nierozstrzygniętego ryzyka podażowego.

Wzorzec zaawansowanych podmiotów atakujących infrastrukturę blockchain nadal przyspiesza — atakujący przesuwają się w górę stosu od pojedynczych inteligentnych kontraktów do modułów na poziomie protokołu i mostów cross-chain. Initia — Layer 1 oparty na Cosmos SDK, którego mainnet uruchomiono w kwietniu 2025 roku po rundzie finansowania o wartości 7,5 miliona dolarów pod przewodnictwem Binance Labs w 2024 roku — jest zbudowany wokół „interwoven rollups”, czyli łańcuchów specyficznych dla aplikacji czerpiących wspólne bezpieczeństwo z sieci bazowej. Ta architektura rozszerza powierzchnię ataku w porównaniu z wdrożeniem jednołańcuchowym, ponieważ wada w logice emisji lub stanu warstwy bazowej może rozprzestrzenić się na każdy zakotwiczony rollup. Szczegóły dotyczące tego, który składnik został wykorzystany, określą, jaka część tej architektury wymaga audytu lub przeprojektowania, zanim sieć będzie mogła bezpiecznie wznowić pełne działanie.

Konkretne sygnały odzyskiwania, które warto monitorować, obejmują: oficjalny raport powydarzeniowy od zespołu Initia nazywający wykorzystany składnik; transakcję on-chain lub działanie governance dotyczące nieautoryzowanej wybitej podaży; potwierdzoną wysokość bloku, przy której wznawiane są normalne operacje walidatorów; oraz wszelkie ogłoszenia dotyczące rekompensat lub naprawy dla poszkodowanych użytkowników. Dopóki te konkretne kamienie milowe nie zostaną osiągnięte, incydent pozostaje otwarty z perspektywy ryzyka.

Przed podjęciem jakichkolwiek działań użytkownicy powinni weryfikować oficjalne komunikaty wyłącznie poprzez potwzone kanały społecznościowe i governance zespołu Initia. Incydenty o takiej widoczności niezawodnie generują próby podszywania się, fałszywe kontrakty „odzyskiwania” i linki phishingowe obiecujące przywrócenie sald. Nie wchodź w interakcję z żadnym kontraktem, mostem ani wymianą tokenów promowaną w kontekście tego incydentu, chyba że zostały one wyraźnie opublikowane przez zweryfikowany zespół bazowy Initii.

Otwarte pytania dotyczące zakresu podatności, koordynacji walidatorów i naprawy podaży to kluczowe zmienne dla profilu ryzyka tego protokołu. Jasny, szybki raport powydarzeniowy odpowiadający na każde z tych pytań — poparty weryfikowalnymi dowodami on-chain — to minimalny standard potrzebny do przywrócenia zaufania do modelu bezpieczeństwa Initii. Wszystko, co jest od tego krótsze, pozostawia protokół w stanie nierozstrzygniętego ryzyka kontrahenta dla każdego użytkownika, aplikacji i dostawcy płynności podłączonego do sieci.

Źródło: DefiLiban — https://defiliban.io/initia-blockchain-hack-2-7m-crypto-halt