Initia остановила свой блокчейн первого уровня и все подключенные роллапы после того, как злоумышленник использовал ранее неизвестную уязвимость в программном обеспечении для минтинга несанкционированных токенов и вывода криптовалюты на сумму около $2,7 млн из резервов межцепочечных мостов.

Сеть прекратила обработку транзакций в 15:41:30 UTC 23 октября 2026 года, оставив пользователей без возможности проводить операции в связанной блокчейн-инфраструктуре Initia. К моменту, когда валидаторы координировали экстренную остановку, злоумышленник уже перевел AUSD, Ethereum (ETH) и USDC в Ethereum.

Сооснователь Initia Эзан Мангалджи выявил ранее неизвестный дефект в реализации Move Virtual Machine (MoveVM) сети на Cosmos SDK, как указано в посте в X. Уязвимость позволяла создавать несанкционированные токены в базовом блокчейне, но не давала злоумышленнику выпустить дополнительные нативные токены INIT.

Злоумышленник выпустил необеспеченные токены и опустошил резервы мостов

Эксплойт начался примерно в 14:59 UTC, когда злоумышленник выполнил вредоносные транзакции, сгенерировавшие необеспеченные представления активов, которые обычно переводятся в Initia через межцепочечные мосты.

Ончейн-расследование Bitquery выявило несанкционированный выпуск токенов на номинальную сумму около $7,48 млн, выполненный четырьмя пакетами за 13 секунд. Однако значительная часть этой суммы приходилась на синтетический iUSD, который невозможно было погасить по заявленной стоимости.

Злоумышленнику удалось извлечь примерно $2,73 млн в реальных активах из резервов мостов, обеспечивающих AUSD, ETH и USDC в Initia. Выводы использовали связь между токенами, выпущенными в Initia, и их базовыми активами, хранящимися в других сетях: несанкционированные балансы можно было сжечь через в остальном легитимные мостовые транзакции, высвобождая реальную криптовалюту из соответствующих резервов.

Около 1,4 млн AUSD и 105 ETH были высвобождены через адапы LayerZero на стороне Ethereum, а еще 1,08 млн USDC были перемещены через Noble и Cross-Chain Transfer Protocol (CCTP) компании Circle. Похищенные активы впоследствии были конвертированы примерно в 1 135,5 ETH и консолидированы в кошельке Ethereum.

Этот инцидент произошел вслед за недавним эксплойтом моста Cysic, в ходе которого злоумышленник выпустил 10 млн несанкционированных токенов CYS и перевел в Ethereum proceeds на сумму около $727 000.

Резерв USDC почти опустошен, Agora реагирует

Атака значительно сократила ликвидность, обеспечивающую мостовые активы Initia, создав немедленные проблемы с выводом средств для легитимных пользователей. Резерв USDC компании Noble, изначально составлявший около $1,09 млн, в ходе инцидента и последующих выводов упал до всего $63. Опустошенный баланс не позволил осуществлять дальнейшее погашение, при этом до остановки сети было зафиксировано 55 неудачных попыток вывода, многие из которых представляли собой повторные запросы от одного и того же торгового бота.

Резерв ETH на стороне Ethereum потерял около 96% своих средств, а адаптер AUSD был опустошен примерно на 71%.

Аналогичные уязвимости резервов ранее затронули Liquid Network, который приостановил работу в сентябре, когда через несанкционированный peg-out из его федеративного кошелька ушло почти 4 000 BTC.

Agora, эмитент AUSD, подтвердила в X, что ее собственная инфраструктура стейблкоинов не затронута. У компании нет нативных контрактов AUSD, развернутых в Initia, а ее существующие резервы стейблкоинов остаются полностью обеспеченными. Это отличает затронутое представление AUSD на стороне Initia и резервы мостов от нативных контрактов AUSD и существующих резервов стейблкоинов Agora. Agora также обязалась заморозить связанные со злоумышленником балансы AUSD в поддерживаемых сетях. Однако похищенный AUSD уже был конвертирован в ETH до этого вмешательства, и завершенная заморозка этих средств не была осуществлена.

Биржи приостанавливают переводы INIT, расследование продолжается

Южнокорейская биржа Upbit временно приостановила депозиты и выводы INIT после инцидента с безопасностью и выпустила уведомление о предостережении в отношении торговли. Спотовая торговля в рамках этих первоначальных мер приостановлена не была. KuCoin также приостановила депозиты и выводы INIT 24 октября, сославшись на необходимое техническое обслуживание сети, согласно официальному объявлению.

Initia, объявившая об остановке в X, работает со специалистами по безопасности, валидаторами и криптобиржами, чтобы определить полный масштаб уязимости и оценить потери по затронутым мостам. Расследование не установило окончательный финансовый ущерб, полную техническую первопричину или порядок компенсации пострадавшим пользователям. Выпуск патча или подтвержденная дата перезапуска сети не объявлены.

Initia предупредила пользователей о необходимости избегать неофициальных ссылок для восстановления и подозрительных сообщений, пока блокчейн первого уровня и подключенные роллапы остаются приостановленными.