• Initia hielt seine L1 und alle Rollups am 23. Oktober um 15:41:30 UTC nach einem Sicherheitsvorfall an.

• Mitgründer Ezaan Mangalji führte den Angriff auf einen Day-0-Bug in der MoveVM auf dem Cosmos SDK zurück.

• Der Angreifer prägte AUSD, ETH und USDC im Wert von rund 2,7 Millionen US-Dollar und transferierte sie vor dem Stopp über eine Bridge nach außen.

Initia friert L1 und alle Rollups ein

Initia hat am Freitag, dem 23. Oktober, um 15:41:30 UTC seine L1-Blockchain und alle damit verbundenen Rollups angehalten. Das Team bezeichnete den Grund als Sicherheitsvorfall. In der auf dem offiziellen X-Konto des Projekts veröffentlichten Mitteilung hieß es, das Team arbeite mit Sicherheitsfirmen, Validatoren und Börsen zusammen, um das volle Ausmaß der Auswirkungen zu ermitteln. Nutzer wurden gewarnt, während des Ausfalls kursierende inoffizielle Links und Behauptungen mit Vorsicht zu behandeln. On-Chain-Daten zeigen, dass die Blockchain bei Blockhöhe 23.365.925 stoppte und seitdem kein neuer Block hinzugekommen ist. Etwa zwanzig Minuten später veröffentlichte Mitgründer Ezaan Mangalji auf X eine erste technische Einschätzung: Ein „Day-0“-Bug in der MoveVM-Ausführungsumgebung, auf der Initia auf dem Cosmos SDK aufsetzt, ermöglichte es dem Angreifer, zusätzliche Token direkt auf der L1 zu prägen. Die MoveVM ist eine virtuelle Maschine, die Smart Contracts in der Programmiersprache Move ausführt – eine ungewöhnliche Wahl für eine Cosmos-SDK-Blockchain. Mit Mangaljis Bezeichnung „Day 0“ ist gemeint, dass der Fehler bereits seit der ersten Bereitstellung im Code vorhanden war und nicht erst mit einem späteren Update hinzukam. Er betonte, dass der native INIT-Token nicht betroffen sei. Bevor die Validatoren die Blockchain stoppen konnten, prägte der Angreifer AUSD, ETH und USDC im Wert von rund 2,7 Millionen US-Dollar und transferierte sie über eine Bridge nach außen. Mangalji legte nicht offen, wie der Bug funktioniert, und eine endgültige Schadenssumme wurde noch nicht bestätigt. Initias L1 koordiniert die Interoperabilität und Liquidität zwischen den anwendungsspezifischen Rollups. Das unterscheidet sich um eine Ebene davon, wie sich eine Layer-3-Blockchain über einem Rollup aufbaut. Auch die Validatoren, die das Netzwerk durch Staking absichern, wurden in die Untersuchung einbezogen. Für die Nutzer waren die Folgen umfassend: Einzahlungen, Swaps und Transfers zwischen Rollups kamen sofort zum Erliegen. Bis Samstagmorgen gab es weder einen Zeitpunkt für den Neustart noch veröffentlichte Details zum Bug oder einen Plan zur Behebung.

Wohin die 2,7 Millionen US-Dollar flossen

On-Chain-Belege ergänzen die Informationen, die in den offiziellen Mitteilungen fehlten. Ein Sicherheitsforscher veröffentlichte um 15:27 UTC, vierzehn Minuten vor dem Stopp, eine Warnung. Darin hieß es, Token seien in unbegrenzter Menge geprägt und bereits rund 2,6 Millionen US-Dollar ausgezahlt worden; weitere Transfers seien noch im Gange. Ethereum-Daten zeigen, dass die Adresse des Angreifers 0xDD92...edFA schon früher aktiv war: Um 15:03 UTC leitete sie in einer einzigen Transaktion 1,4 Millionen AUSD über den 1inch-Aggregator weiter. Der Transaktions-Hash lautet 0xeb5e85e76f00a7a84dfe4d2d6aab146a769785b3d80307c67dde14c79f36c5ae. Fünf Sekunden nachdem die Blockchain angehalten wurde, um 15:41:35 UTC, transferierte dieselbe Adresse 1.135,5 ETH an eine neue Ethereum-Adresse, 0x358e...CAC8. Da dieser Transfer auf Ethereum stattfand, konnte der Stopp ihn nicht verhindern. Am Samstagmorgen befanden sich die gesamten 1.135,5 ETH weiterhin auf der neuen Adresse; es gab keine ausgehenden Transaktionen. Bei einem ETH-Kurs von etwa 2.381 US-Dollar entsprach das rund 2,7 Millionen US-Dollar und stimmte damit mit Mangaljis Schätzung überein. Agora, der Herausgeber von AUSD, reagierte über Nacht zweimal. Das Unternehmen hat keine Smart Contracts auf Initia bereitgestellt, und dort gibt es keine AUSD. Bereitstellungen auf anderen Netzwerken sind vollständig gedeckt und funktionieren normal. Das Sicherheitsteam wird AUSD einfrieren, das sich auf Netzwerken, auf denen der Token bereitgestellt ist, auf Adressen des Angreifers befindet. Die Börsen reagierten schnell. Upbit setzte Ein- und Auszahlungen von INIT um 15:57 UTC wegen Anzeichen eines Sicherheitsvorfalls aus und warnte Kunden später, dass die Volatilität zunehmen könnte. Bithumb ergriff dieselbe Maßnahme. Der Handel selbst lief weiter, und INIT bewegte sich innerhalb von 24 Stunden zwischen 0,114 und 0,156 US-Dollar. Marktdaten zeigten den Kurs am frühen Samstag bei etwa 0,138 US-Dollar – ein Plus von 4,6 Prozent, nachdem er im Laufe der Sitzung zeitweise um 12,5 Prozent gestiegen war. Die Marktkapitalisierung lag bei rund 29,2 Millionen US-Dollar. Der Token wird weiterhin etwa 90 Prozent unter seinem Höchststand von 1,42 US-Dollar im Mai 2025 gehandelt und befindet sich damit tief im Bärenmarkt.

Was die belegbaren Transaktionen offenlassen

Zusammengenommen ergeben die On-Chain-Daten und die Aussagen des Teams eine ungewöhnlich lückenlose Beweiskette. Der Transaktions-Hash der Token-Prägung und die anschließenden Transfers sind öffentlich und überprüfbar. Die 1.135,5 ETH, die auf einer neuen Adresse liegen, sind das klarste Ziel für eine Rückholung. Agoras Einfrierungsanordnung kann einen Teil der AUSD auf Netzwerken zurückholen, auf denen der Token bereitgestellt ist. Für die ETH- und USDC-Anteile gibt es jedoch keine vergleichbare Möglichkeit. Offen ist weiterhin, worin der Bug genau bestand. Es gibt weder einen Untersuchungsbericht noch eine Offenlegung der Ursache oder einen Neustarttermin. Solange Initia keinen verifizierten Plan zur Behebung veröffentlicht, bleiben alle Rollups im Netzwerk eingefroren. Ein Day-0-Fehler in einer MoveVM, die auf einer Cosmos-SDK-Blockchain läuft, ist genau das Detail, das andere Move-basierte Teams an diesem Wochenende prüfen werden.