Initia zatrzymał swoją blockchain Layer 1 oraz wszystkie połączone rollupy, po tym jak atakujący wykorzystał wcześniej nieznany błąd w oprogramowaniu, aby emitować nieautoryzowane tokeny i wykraść kryptowaluty o wartości około 2,7 mln dolarów z rezerw mostów międzyłańcuchowych.

Sieć przestała przetwarzać transakcje 23 października 2026 roku o 15:41:30 UTC, przez co użytkownicy nie mogli przeprowadzać transakcji w ramach połączonej infrastruktury blockchain Initia. Zanim walidatorzy przeprowadzili awaryjne wyłączenie, atakujący zdążył już przenieść AUSD, Ethereum (ETH) oraz USDC do Ethereum.

Współzałożyciel Initia, Ezaan Mangalji, zidentyfikował wcześniej nieznany błąd w implementacji Move Virtual Machine (MoveVM) sieci opartej o Cosmos SDK, jak podał w poście na X. Podatność umożliwiła nieautoryzowane tworzenie tokenów na blockchainie bazowym, choć nie pozwalała atakującemu na wyemitowanie dodatkowych natywnych tokenów INIT.

Atakujący wyemitował tokeny bez pokrycia i opróżnił rezerwy mostów

Eksploit rozpoczął się około godziny 14:59 UTC, gdy atakujący wykonał złośliwe transakcje generujące tokeny bez pokrycia, odwzorowujące aktywa normalnie przenoszone do Initia za pośrednictwem mostów międzyłańcuchowych.

Śledztwo on-chain przeprowadzone przez Bitquery wykazało nieautoryzowaną emisję tokenów o wartości nominalnej około 7,48 mln dolarów, przeprowadzoną w czterech transzach w ciągu 13 sekund. Duża część tej kwoty składała się jednak z syntetycznego iUSD, którego nie można było zrealizować po deklarowanej wartości.

Atakujący wyodrębnił około 2,73 mln dolarów w rzeczywistych aktywach z rezerw mostów zabezpieczających AUSD, ETH oraz USDC w sieci Initia. Wypłaty wykorzystały relację między tokenami emitowanymi w Initia a ich podstawowymi aktywami przechowywanymi w innych sieciach: nieautoryzowane salda można było spalić poprzez pozoru legalne transakcje mostowe, uwalniając rzeczywiste kryptowaluty z odpowiednich rezerw.

Około 1,4 mln AUSD oraz 105 ETH uwolniono poprzez adaptery LayerZero po stronie Ethereum, natomiast kolejne 1,08 mln USDC przepłynęło przez Noble i protokół Cross-Chain Transfer Protocol (CCTP) firmy Circle. Skradzione aktywa następnie wymieniono na około 1135,5 ETH i skonsolidowano w portfelu Ethereum.

Incydent nastąpił po niedawnym eksploicie mostu Cysic, w którym atakujący wyemitował 10 mln nieautoryzowanych tokenów CYS i przetransferował około 727 000 dolarów zysków do Ethereum.

Rezerwa USDC niemal opróżniona, a Agora reaguje

Atak znacząco ograniczył płynność zabezpieczającą aktywa pomostowe w Initia, powodując natychmiastowe problemy z wypłatami dla legalnych użytkowników. Rezerwa USDC Noble, która początkowo wynosiła około 1,09 mln dolarów, spadła w trakcie incydentu i kolejnych wypłat do zaledwie 63 dolarów. Wyczerpane saldo uniemożliwiło dalsze realizacje, a przed zatrzymaniem sieci zarejestrowano 55 nieudanych prób wypłaty, z czego wiele to powtarzające się żądania z tego samego bota handlowego.

Rezerwa ETH po stronie Ethereum straciła około 96% swoich zasobów, natomiast adapter AUSD został opróżniony w około 71%.

Podobne podatności rezerw dotknęły wcześniej Liquid Network, który zawiesił działanie we wrześniu, po tym jak prawie 4000 BTC opuściło portfel federacyjny poprzez nieautoryzowany peg-out.

Agora, emitent AUSD, potwierdziła na X, że jej własna infrastruktura stablecoina pozostała niezagrożona. Firma nie ma natywnych kontraktów AUSD wdrożonych w Initia, a jej istniejące rezerwy stablecoina pozostają w pełni zabezpieczone. Odróżnia to dotkniętą podatnością reprezentację AUSD po stronie Initia oraz rezerwy mostowe od natywnych kontraktów AUSD Agory i jej istniejących rezerw. Agora zobowiązała się również do zamrożenia powiązanych z atakującym sald AUSD na obsługiwanych sieciach. Jednak skradzione AUSD zostały wymienione na ETH jeszcze przed tą interwencją i nie doszło do skutecznego zamrożenia tych środków.

Giełdy zawieszają transfery INIT, a dochodzenie trwa

Południowokoreańska giełda Upbit tymczasowo zawiesiła wpłaty i wypłaty INIT po incydencie bezpieczeństwa i wydała ostrzeżenie dotyczące handlu. Handel spot nie został zawieszony w ramach tego wstępnego działania. KuCoin również zawiesił wpłaty i wypłaty INIT 24 października, powołując się na niezbędne prace konserwacyjne sieci, jak wynika z oficjalnego ogłoszenia.

Initia, któraogłosiła wyłączenie na X](https://x.com/initia/status/2113661738625155217), współpracuje ze specjalistami ds. bezpieczeństwa, walidatorami oraz giełdami kryptowalut w celu ustalenia pełnego zakresu podatności i oceny strat w dotkniętych mostach. Dochodzenie nie ustaliło jeszcze ostatecznej wysokości strat finansowych, pełnej technicznej przyczyny źródłowej ani warunków rekompensat dla poszkodowanych użytkowników. Nie ogłoszono wydania poprawki ani potwierdzonej daty ponownego uruchomienia sieci.

Initia ostrzegła użytkowników przed korzystaniem z nieoficjalnych linków odzyskiwania i podejrzanych wiadomości, dopóki blockchain Layer 1 i połączone rollupy pozostają zawieszone.