Взлом Initia: атакующий напечатал необеспеченные бриджевые токены, вывел около $2,7 млн в Ethereum, а сеть пришлось остановить
Initia остановила свой L1 и роллапы после того, как атакующий выпустил необеспеченные бриджевые токены и вывел в Ethereum около $2,65–2,7 млн. Команда пока не подтвердила итоговый ущерб и не опубликовала разбор.
- Ошибку сооснователь Initia по имени Zon назвал багом нулевого дня в MoveVM на Cosmos SDK; по его словам, нативный токен INIT она не затрагивает.
- Добычу обменяли на эфир: около 1 135,5 ETH (примерно $2,73 млн) лежат на свежем кошельке.
- Upbit приостановил ввод и вывод INIT, а сама Initia пока не подтвердила итоговый ущерб и не выпустила разбор причин.
Взлом Initia остановил целую экосистему: 23 октября в 18:41 по Москве команда заморозила свой L1-блокчейн и все роллапы на нём. По ончейн-разбору D2 Finance, атакующий выпустил необеспеченные бриджевые токены и меньше чем за восемь минут вывел в Ethereum около $2,65 млн в AUSD, ETH и USDC.
Что произошло
Initia — это блокчейн первого уровня, на котором строится сеть связанных роллапов, их в проекте называют Minitias. Первым тревогу поднял исследователь безопасности Spreek: по его данным, атакующий выпустил токены без разрешения и обменял примерно на $2,6 млн других активов.
Подробную хронологию собрала D2 Finance, её пересказывает бюллетень 0xCERT. В 14:59:26 UTC (17:59 МСК) одна транзакция вызвала функцию Move и выпустила на стороне Initia 2 000 000 единиц бриджевой версии AUSD, сделанной через LayerZero OFT. Затем вполне валидные сообщения моста освободили на Ethereum около 1,4 млн AUSD и 105 ETH из адаптеров, а ещё примерно 1,08 млн USDC было выпущено в Ethereum через Circle CCTP. Всё это заняло 7 минут 21 секунду. Потом добычу обменяли на ETH и свели на один адрес.
Сеть остановили в 15:41:30 UTC — то есть примерно через 40 минут после выпуска. Пост в X появился меньше чем через 20 минут после остановки, сообщает CoinMarketCap. Команда написала, что работает с аудиторами, валидаторами и биржами, чтобы понять масштаб. По состоянию на 18:50 UTC проект так и не объяснил, что именно случилось и потеряли ли деньги пользователи. Сорок минут между выпуском и остановкой — это много: за это время атакующий успел не только вывести активы, но и обменять их на эфир.
Initia: «Будьте осторожны с неофициальными ссылками, сообщениями и заявлениями, которые распространяются в это время».
Взлом Initia: кто на самом деле пострадал
Самый важный нюанс — в названии украденного стейблкоина. Сначала писали, что атакующий выпустил AUSD. Эмитент AUSD, компания Agora, быстро возразила: её смарт-контракт на Initia вообще не развёрнут, и ни одного AUSD там не выпускали. Пострадал сторонний продукт, который использовал AUSD в Ethereum. Agora пообещала заморозить средства на адресах хакера в сетях, где работают её контракты, и подчеркнула, что AUSD полностью обеспечен.
После этого D2 Finance поправила свой анализ: по её версии, убыток ложится на тех, кто внёс средства в сторонний адаптер AUSD OFT. Для пользователя это значит простую вещь — дыра оказалась не в самом стейблкоине, а в мосте между сетями, через который токены «отражаются» на Initia.
Рынок отреагировал нервно, но коротко. По данным CoinGecko, на которые ссылается Cointelegraph, INIT ненадолго падал примерно до $0,115, а затем вернулся выше $0,15. На момент публикации издания он стоил около $0,1496 — плюс 14% за сутки. Корейская биржа Upbit в 15:57 UTC (18:57 МСК) приостановила ввод и вывод INIT и отдельно предупредила о повышенной волатильности. Биржа пообещала сообщить, когда стабильность ввода и вывода подтвердится. Так что взлом Initia ударил не только по держателям бриджевых токенов, но и по тем, кто просто хотел перевести INIT.
Что это значит для тебя
Взлом Initia — уже второй за неделю случай, когда атакующий печатает токены, которых не должно существовать. Недавно похожая история была у моста Cysic. Схема одна: ошибка в логике выпуска позволяет создать «бумажные» токены на одной стороне, а мост честно выдаёт за них настоящие активы на другой.
Мосты остаются самым слабым звеном. Даже если сама сеть работает нормально, обёрнутый токен стоит ровно столько, сколько стоит защита контракта, который его выпускает. А путь украденных денег обычно один — эфир и миксер, как это было у хакера Drift.
Что делать
- Не гоняй активы через мосты Initia и её роллапы, пока команда не выпустит проверенное исправление и разбор.
- Игнорируй любые ссылки на «возврат средств», «клейм» или «компенсацию», которые не пришли из официальных каналов Initia, — команда прямо предупредила о фейках.
- Если держишь INIT на Upbit, просто дождись объявления биржи о возобновлении ввода и вывода.
- Держи в голове: обёрнутая версия стейблкоина — это не тот же токен, что у эмитента, и риски у неё другие.
FAQ
Сколько украли? По оценкам исследователей, около $2,6–2,7 млн. Сама Initia итоговую сумму пока не подтвердила.
Пострадал ли токен INIT? По словам сооснователя Zon, баг не касается нативного INIT. Цена после падения быстро восстановилась.
Взлом Initia затронул AUSD от Agora? Нет. Agora заявила, что её контракт на Initia не развёрнут, а пострадал сторонний продукт, который использовал AUSD в Ethereum.
Когда сеть заработает? Сроков нет: на момент публикации источников Initia не назвала дату перезапуска и не выпустила постмортем.
Итог: взлом Initia показал, что даже свежий L1 с крупными биржевыми листингами может пропустить базовую ошибку в логике выпуска токенов. Пока не вышел разбор, лучшая стратегия — не трогать мосты и не верить никаким «компенсационным» ссылкам.
Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.
