Eksploit bezpieczeństwa na Initia rzekomo umożliwił nieautoryzowane bicie tokenów oraz przepływ cyfrowych aktywów o wartości milionów dolarów do Ethereum, co skłoniło zespół stojący za siecią Layer 1 do zatrzymania blockchaina i powiązanych z nim rollupów.

Według ogłoszenia Initia zatrzymanie weszło w życie o 15:41:30 UTC 23 października. Zespół poinformował, że współpracuje z badaczami bezpieczeństwa, walidatorami i giełdami kryptowalut w celu zbadania incydentu i oceny jego skutków.

Eksploit miał rzekomo obejmować nieautoryzowane utworzenie 2 milionów tokenów AUSD, a następnie transfery międzyłańcuchowe, które przeniosły stablecoiny i Ether do Ethereum, zanim sieć została wstrzymana. W chwili publikacji Initia nie potwierdziła łącznych strat finansowych ani nie przedstawiła ostatecznego wyjaśnienia podatności.

Napastnicy rzekomo przenoszą miliony do Ethereum

Badacz bezpieczeństwa blockchaina Spreek pierwszy zasygnalizował incydent, informując, że napastnik wybił tokeny bez autoryzacji i wymienił aktywa o wartości około 2,6 mln dolarów. Według doniesień dodatkowe środki były wciąż przenoszone w miarę rozwoju śledztwa.

Platforma finansów zdecentralizowanych D2 Finance przekazała następnie więcej szczegółów dotyczących podejrzewanego ataku. Według jej relacji napastnik wykorzystał podatność, aby utworzyć 2 miliony tokenów AUSD bez wystarczającego zabezpieczenia, a następnie użył transferów międzyłańcuchowych, aby przenieść około 1,4 mln AUSD, 105 Ether (ETH) i 1,08 mln USD Coin (USDC) do Ethereum.

Przeniesione aktywa zostały rzekomo skonsolidowane w portfelu Ethereum przechowującym około 1135,5 ETH, o wartości około 2,73 mln dolarów. Zapisy transakcji na blockchainie wskazywały również, że stablecoiny zostały wymienione przed transferem powstałego Ethera.

Podane liczby to szacunki zewnętrznych obserwatorów, a nie ostateczna ocena strat od Initia. Dokładna kwota strat i pełna sekwencja transakcji pozostawały przedmiotem śledztwa, a potwierdzone rozliczenie strat musiałoby pochodzić od samego zespołu.

Spór wokół twzeń o biciu AUSD

Agora, emitent powiązany z AUSD, zakwestionował relację łączącąą nieautoryzowane bicie tokena bezpośrednio z jego infrastrukturą na Initia. Firma oświadczyła, że nie miała wdrożonych smart kontraktów w sieci, co rodzi pytania, jak doszło do opisywanego tworzenia tokenów i które komponenty były zaangażowane.

Agora określiła również granice swojej możliwości zamrażania aktywów, oświadczając, że jej reakcja skupi się na odpowiednich adresach hakerskich przechowujących AUSD na blockchainach, na których wdrożone są jej własne smart kontrakty. To rozróżnienie jest istotne, ponieważ zamrażanie tokenów za pośrednictwem kontraktu kontrolowanego przez emitenta różni się od zatrzymywania transakcji na innym blockchainie lub odzyskiwania już przetransferowanych aktywów. Skuteczność jakiejkolwiek interwencji zależałaby zatem od zaangażowanych kontraktów i sieci.

Wstępne ustalenia wskazują na podatność w MoveVM

Wstępne ustalenia przypisywane współzałożycielowi Initia, Ezaanowi Mangaljiemu, znanemu również jako Zon, wskazywały rzekomo na wcześniej nieznana podatność w implementacji MoveVM sieci działającej z Cosmos SDK. MoveVM wykonuje smart kontrakty napisane w języku Move, języku programowania pierwotnie opracowanym dla projektu Meta Diem, a później przyjętym przez sieci Layer 1 takie jak Aptos i Sui, podczas gdy Cosmos SDK to szeroko stosowany framework open-source do budowy blockchainów dedykowanych konkretnym aplikacjom. Model Move zorientowany na zasoby traktuje aktywa cyfrowe jako unikalne, niekopiowalne obiekty — projekt bezpieczeństwa aktywów, który stanowił trzon jego atrakcyjności wśród twórców sieci. Podejrzewana wada została opisana jako podatność zero-day, co oznacza, że nie była wcześniej znana ani załatwiona w momencie wykorzystania, a wstępna relacja wskazywała, że mogła umożliwiać nieautoryzowane bicie tokenów.

As of Oct 23, 2026, 3:41:30 PM UTC, the Initia L1 and Rollups have been halted due to a security incident. Our team is actively investigating the situation and working to establish the full scope of any impact with security teams, validators, and exchanges. We will share verified information through our official channels as it becomes available. Please remain cautious of unofficial links, messages, or claims circulating during this time.

— Initia (@initia) October 23, 2026

Przedstawiona ocena techniczna odróżniła również podatność od natywnego tokena sieci INIT, wskazując, że wada nie wpłynęła bezpośrednio na INIT. Initia nie ustaliła jednak publicznie pełnej przyczyny technicznej ani nie potwierdziła pełnego zakresu eksploitu.

Wstrzymanie zarówno bazowego blockchaina Initia, jak i jego rollupów miało na celu ograniczenie incydentu, podczas gdy śledczy badali podatność i koordynowali działania z uczestnikami sieci. Rollupy to sieci wykonawcze, które zapisują swoją aktywność z powrotem w bazowym łańcuchu, więc ich działanie jest powiązane ze stanem samego Layer 1; podczas gdy zatrzymanie obowiązywało, transakcje w sieci i jej rollupach nie mogły być przetwarzane. Initia ostrzegła również użytkowników, aby zachowali ostrożność wobec nieoficjalnych linków, wiadomości i twierdzeń krążących w trakcie śledztwa.

Indent podkreśla ryzyko związane z infrastrukturą międzyłańcuchową, w której podatności w mechanizmach emisji lub transferu tokenów mogą potencjalnie umożliwić przepływ aktywów między sieciami, zanim operatorzy będą w stanie zareagować.

Token INIT waha się po incydencie bezpieczeństwa

INIT to natywny token sieci Initia. Dane rynkowe pokazały, że krótko spadł do około 0,115 dolara w piątek, zanim odbił się powyżej 0,15 dolara, a następnie notowany był w okolicach 0,1496 dolara, co stanowi wzrost o około 14% w poprzedzających 24 godzinach.

Odzyskanie ceny nie oznaczało, że incydent bezpieczeństwa został rozwiązany ani że dotknięte aktywa zostały odzyskane. Ceny rynkowe mogą fluctuować niezależnie od postępów śledztwa technicznego.

Kolejne kroki Initia obejmują ustalenie pierwotnej przyczyny podatności, określenie pełnego zakresu dotkniętych aktywów oraz koordynację z walidatorami i giełdami. Dopóki zespół nie opublikuje ostatecznej oceny, podane liczby strat i wyjaśnienie techniczne pozostają wstępne.