Хакер вывел $2,7 млн из блокчейна Initia

Разработчики L1-блокчейна Initia приостановили работу основной сети и связанных с ней роллапов после атаки. По предварительной оценке сооснователя проекта Эзаана Мангальджи, злоумышленник успел вывести криптоактивы примерно на $2,7 млн.

to the best of our knowledge so far, this is a Day 0 bug related to Initia’s MoveVM on CosmosSDK that allowed the exploiter to mint additional tokens on the Initia L1 but does not apply to native INIT tokens. the attacker was able to mint and bridge out ~$2.7m worth of AUSD, ETH, and USDC before the chain was paused.

— zon 🪢 (@ItsAlwaysZonny) October 23, 2026

По его словам, взлом стал возможным из-за ранее неизвестной ошибки в коде, которым Initia связала виртуальную машину для смарт-контрактов на языке MoveVM со своей сетью на базе Cosmos SDK. Ошибка позволила хакеру выпускать необеспеченные токены.

Как злоумышленник вывел средства

Специалисты DeFi-платформы D2 Finance установили, что атакующий выпустил в Initia около 2 млн токенов AUSD без обеспечения. Затем через кроссчейн-мосты он вывел в Ethereum около 1,4 млн AUSD, 105 ETH и 1,08 млн USDC. После обмена все средства оказались на одном адресе, где скопилось примерно 1135,5 ETH стоимостью $2,73 млн.

We decoded the @initia exploit. One signed tx at 14:59:26 UTC minted 2,000,000 AUSD out of nothing. 153 seconds later a valid @LayerZero_Core message released 1.4M real AUSD from the Ethereum adapter. $2.65M was back on Ethereum within 7m21s of the mint. Three exits, all into 0xDD92…edFA: AUSD: 1.4M from the AUSD OFT adapter, 71% of its balance, 576K left. ETH: 105 from the native-ETH OFT adapter, 96% of its balance, 4.84 left. USDC: 1.08M as fresh mints from 0x0, via Circle’s CCTP. The mint was the attacker’s own key calling one Move function, 135,888 gas, no bridge message involved. The token is an argument (recipient, token, amount), consistent with one wallet printing AUSD, USDC and ETH. LayerZero’s DVNs then attested to burns that really happened, and an OFT adapter cannot check whether burned tokens were ever backed: each Ethereum lockbox pays at par for any Initia-side mint bug. Prep started 6.5 hours before the mint: 0.1 ETH from Tornado at 08:27 UTC, dust sends through @axelar AxelarHandler from 13:14, and a 0.006 ETH deposit at 14:37 into the same ETH adapter it emptied 29 minutes later. Every stable was ETH within 3 minutes of landing via 1inch and 0x, AUSD in 84 seconds. All 1,135.52 ETH (~$2.73M) now sits in a fresh wallet, 0x358e…CAC8. Same shape as Liquid on 6 Sep, where an Elements bug created 4,000 L-BTC and a valid peg-out paid 3,996 real BTC. Initia’s DEX holds $3.50M of TVL and did $334K of volume in 24h. Its bridges carried 8x that for one wallet in 7m21s: on Initia, the deepest pool was the bridge.

— D2 Finance (@D2_Finance) October 23, 2026

Аналитическая компания Bitquery объяснила, откуда у хакера взялись реальные деньги. Когда пользователь переводит, например, USDC из Ethereum в Initia, мост блокирует настоящие монеты в своем резерве и выдает взамен их копию.

При обратном переводе копия уничтожается, а резерв возвращает настоящие USDC. Злоумышленник создал копии USDC, AUSD и ETH, ничего не заблокировав, отправил их обратно через мосты и получил из резервов настоящие активы примерно на $2,73 млн.

Всего хакер создал токенов на $7,48 млн по номиналу. Однако большую часть из них вывести не удалось. В том числе это касается $3 млн во внутреннем стейблкоине Initia — iUSD, который существует только в этой сети и не обменивается через мосты.

Стоящая за AUSD компания Agora заявила, что атака не затронула ее актив. Agora не выпускала AUSD в сети Initia: там обращалась только его копия, созданная мостом. Именно ее и подделал хакер. Сам AUSD по-прежнему полностью обеспечен.

Сроки восстановления сети неизвестны

На фоне сообщений об атаке курс INIT кратковременно снизился примерно на 14% — до $0,115, но затем частично отыграл падение. За последние 24 часа цена монеты выросла на 10%.

Южнокорейские криптобиржи Upbit и Bithumb временно приостановили ввод и вывод INIT.

Разработчики не объявили сроки перезапуска сети и не опубликовали технический отчет. Также неизвестно, какой ущерб понесли пользователи и удастся ли вернуть выведенные активы.

Напомним, 18 октября Qubic остановила блокчейн после взлома 1404 пользовательских кошельков. Злоумышленник похитил около 2,94 трлн QU стоимостью $1,3 млн, воспользовавшись уязвимостью в механизме генерации сид-фраз. Позднее сеть возобновила работу.