Initia sedang berupaya menambal kerentanan kritis setelah seorang penyerang mengeksploitasi implementasi MoveVM-nya untuk membuat aset tanpa dukungan dan menjembatani sekitar $2,7 juta keluar dari jaringan.
Blockchain modular tersebut menghentikan Layer 1 dan rollup terkaitnya pada 23 Oktober setelah mendeteksi insiden keamanan. Initia kemudian menyatakan bahwa penyerang menyalahgunakan bug dalam mekanisme caching skrip MoveVM, sehingga kode berbahaya dapat melewati pemeriksaan keamanan dan memanipulasi status yang dilihat oleh mesin virtual.
Menurut proyek tersebut, insiden ini berdampak pada aset terbungkus dan aset yang dijembatani, bukan token INIT asli milik Initia.
Initia Menghentikan L1 dan Rollup Setelah Insiden Keamanan
Initia menghentikan jaringan Layer 1 dan rollup-nya pada 15:41 UTC tanggal 23 Oktober, sementara pengembang, validator, bursa, dan spesialis keamanan menyelidiki insiden tersebut.
Laporan awal dari peneliti blockchain Spreek mengindikasikan bahwa seorang penyerang menemukan cara untuk mencetak aset tanpa izin dan telah memindahkan lebih dari $2.6 juta dari ekosistem.
Initia kemudian memberikan detail lebih lanjut dan mengonfirmasi bahwa sekitar $2.7 juta telah dipindahkan keluar melalui bridge sebelum jaringan dihentikan.
Keputusan untuk menghentikan jaringan utama beserta rollup-nya mencegah eksploitasi lebih lanjut selama pengembang menyelidiki kerentanan tersebut.
Tidak seperti eksploitasi yang terbatas pada satu aplikasi terdesentralisasi, masalah ini memengaruhi infrastruktur di tingkat mesin virtual, sehingga potensi dampaknya jauh lebih luas.
Bug Caching Skrip MoveVM Adalah Akar Masalah
Investigasi Initia mengidentifikasi kerentanan dalam implementasi MoveVM pada Cosmos SDK.
Menurut pembaruan insiden dari proyek tersebut, penyerang mengeksploitasi kelemahan pada caching skrip MoveVM. Bug ini memungkinkan kode berbahaya melewati pemeriksaan yang seharusnya mencegah manipulasi state tanpa izin.
Penyerang kemudian dapat memalsukan state MoveVM dan mengkreditkan aset yang tidak memiliki dukungan memadai ke akun mereka sendiri.
Ini merupakan perbedaan penting dari sekadar mencetak INIT asli tambahan.
Initia menyatakan bahwa eksploitasi tersebut tidak menambah jumlah pasokan INIT dan tidak memungkinkan penyerang mencetak token INIT asli.
Sebaliknya, state yang dimanipulasi membuat penyerang menerima representasi aset tanpa dukungan, termasuk WETH, aset terkait iUSD, dan USDC.
Dengan demikian, insiden ini mengungkap kerentanan dalam cara lingkungan eksekusi menangani state, bukan kelemahan dalam kebijakan moneter INIT itu sendiri.
Penyerang Memindahkan Sekitar $2.7 Juta Keluar Melalui Bridge
Sebelum validator menghentikan jaringan, penyerang berhasil memindahkan aset senilai sekitar $2.7 juta dari Initia.
Initia menyatakan bahwa dana yang dipindahkan keluar mencakup sekitar 105 WETH, sekitar 1.4 juta AUSD0, dan kira-kira 1.08 juta USDC. Aset tersebut dipindahkan melalui infrastruktur yang mencakup LayerZero, Noble, dan Cross-Chain Transfer Protocol milik Circle.
Dana tersebut kemudian dikonversi menjadi sekitar 1,135.52 ETH dan dipindahkan ke alamat Ethereum yang diidentifikasi oleh proyek tersebut.
Penggunaan infrastruktur lintas chain menggambarkan salah satu tantangan yang dihadapi tim keamanan blockchain setelah eksploitasi.
Setelah aset yang dibuat secara tidak sah dapat dipindahkan ke jaringan lain dan ditukar dengan aset likuid seperti ETH, upaya pembatasan menjadi jauh lebih sulit.
Menghentikan chain yang terdampak dapat mencegah transaksi tambahan di jaringan tersebut, tetapi tidak dapat secara otomatis membatalkan aset yang sudah mencapai blockchain lain.
Pasokan INIT Asli Tidak Terdampak
Salah satu klarifikasi utama Initia setelah serangan tersebut adalah bahwa token INIT asli itu sendiri tidak rentan terhadap metode pencetakan yang digunakan penyerang.
Uraian awal insiden tersebut secara luas menyebut pencetakan token tanpa izin, sehingga muncul kekhawatiran bahwa eksploitasi itu mungkin telah mengompromikan pasokan INIT.
Proyek tersebut kemudian menyatakan bahwa hal itu tidak terjadi.
Kerentanan itu memungkinkan penyerang memanipulasi state MoveVM sehingga sejumlah aset lain dikreditkan dalam bentuk tanpa dukungan, tanpa mengubah pasokan token sah yang terkait. INIT asli tidak dicetak dalam serangan tersebut.
Perbedaan ini penting karena eksploitasi yang mampu meningkatkan pasokan token asli blockchain secara sewenang-wenang dapat menimbulkan konsekuensi ekonomi yang jauh lebih luas.
Kerugian sekitar $2.7 juta tetap signifikan, tetapi berdasarkan informasi yang dirilis sejauh ini, insiden tersebut tidak mengompromikan mekanisme penerbitan dasar INIT.
Initia Menyiapkan Patch Keamanan
Initia telah menyusun perbaikan untuk kerentanan tersebut.
Proyek tersebut menyatakan bahwa patch sedang ditinjau oleh mitra keamanan sebelum Layer 1 dan rollup diaktifkan kembali.
Alih-alih segera mengaktifkan kembali jaringan setelah mengidentifikasi akar masalah, Initia menghentikan operasional sementara perbaikan menjalani audit keamanan. Tim menyatakan akan memberikan rencana pengaktifan kembali yang konkret setelah audit tersebut selesai.
Initia juga bekerja sama dengan mitra keamanan dalam upaya pemulihan aset yang dipindahkan selama eksploitasi.
Laporan post-mortem lengkap diperkirakan akan diterbitkan setelah investigasi dan pekerjaan perbaikan selesai.
Mengapa Bug Mesin Virtual Sangat Serius
Eksploitasi smart contract biasanya melibatkan kesalahan di dalam suatu aplikasi tertentu.
Kerentanan pada lingkungan eksekusi blockchain menimbulkan risiko yang berbeda.
Mesin virtual bertanggung jawab mengeksekusi kode yang digunakan aplikasi di blockchain. Jika asumsi dalam lingkungan tersebut dapat dilewati, beberapa aplikasi atau aset berpotensi mewarisi kelemahan yang sama.
Dalam kasus Initia, temuan awal menunjukkan bahwa caching skrip memungkinkan kode yang dirancang khusus menghindari pemeriksaan keamanan yang semestinya.
Hal itu mengubah detail implementasi di lapisan eksekusi menjadi mekanisme yang mampu menghasilkan aset tanpa dukungan yang bernilai secara ekonomi.
Insiden ini menunjukkan mengapa audit keamanan blockchain tidak boleh terbatas pada smart contract di tingkat aplikasi.
Mesin virtual, bridge, sistem pengiriman pesan lintas chain, mekanisme caching, dan logika transisi state semuanya merupakan bagian dari batas keamanan.
Infrastruktur Lintas Chain Dapat Memperbesar Dampak Eksploitasi
Serangan ini juga menyoroti peran bridge dalam insiden keamanan.
Penyerang tidak sekadar membuat aset tanpa dukungan lalu membiarkannya di Initia.
Aset tersebut dengan cepat dipindahkan melalui sistem lintas chain dan dikonversi menjadi aset di Ethereum sebelum jaringan sempat dihentikan.
Urutan kejadian tersebut mengurangi waktu yang tersedia bagi validator dan pengembang protokol untuk merespons.
Ini juga berarti pemantauan keamanan kini semakin perlu dilakukan secara bersamaan di beberapa jaringan.
Anomali yang bermula di satu blockchain dapat menjadi masalah bagi Ethereum, Solana, atau penerbit stablecoin beberapa menit kemudian jika aset dapat berpindah melalui infrastruktur bridge yang saling terhubung.
Insiden Initia Menambah Risiko Keamanan Blockchain pada 2026
Eksploitasi Initia menjadi pengingat lain bahwa arsitektur blockchain yang semakin saling terhubung menciptakan asumsi keamanan baru, di samping manfaatnya.
Rollup, bridge, dan lingkungan eksekusi modular memungkinkan aplikasi memindahkan aset dan data secara efisien antarjaringan, tetapi setiap lapisan tambahan menghadirkan kode dan infrastruktur yang harus berfungsi dengan benar.
Respons Initia membatasi eksploitasi dengan menghentikan jaringan, sementara proyek tersebut menyatakan bahwa kerentanan kini telah diidentifikasi dan patch sedang menjalani audit.
Tahapan penting berikutnya adalah penyelesaian tinjauan keamanan, pemulihan dukungan bagi aset yang terdampak, serta pengaktifan kembali Layer 1 dan rollup Initia secara tertib.
Sampai saat itu, jaringan ini tetap menjadi studi kasus yang berguna tentang bagaimana bug eksekusi tingkat rendah dapat dengan cepat berubah menjadi insiden keamanan lintas chain bernilai jutaan dolar.
Penafian: Artikel ini disediakan hanya untuk tujuan informasi. Artikel ini tidak ditawarkan atau dimaksudkan sebagai nasihat hukum, pajak, investasi, keuangan, atau nasihat lainnya.