Initia работает над устранением критической уязвимости после того, как злоумышленник воспользовался проблемой в реализации MoveVM, чтобы создать ничем не обеспеченные активы и вывести из сети через мост около $2,7 млн.
Модульный блокчейн остановил работу как своего уровня 1, так и связанных с ним роллапов 23 октября, обнаружив инцидент безопасности. Позже Initia сообщила, что злоумышленник воспользовался ошибкой в механизме кэширования скриптов MoveVM, которая позволяла вредоносному коду обходить проверки безопасности и манипулировать состоянием, доступным виртуальной машине.
По данным проекта, инцидент затронул обёрнутые и переведённые через мост активы, но не собственный токен Initia — INIT.
Initia приостановила работу L1 и роллапов после инцидента безопасности
23 октября в 15:41 UTC Initia остановила свою сеть Layer 1 и роллапы, пока разработчики, валидаторы, биржи и специалисты по безопасности расследовали инцидент.
В первых сообщениях исследователь блокчейна Spreek предположил, что злоумышленник нашёл способ выпускать активы без разрешения и уже вывел из экосистемы более $2.6 миллиона.
Позже Initia сообщила дополнительные подробности и подтвердила, что до остановки сети через мосты было выведено около $2.7 миллиона.
Решение остановить и базовую сеть, и её роллапы предотвратило дальнейшую эксплуатацию уязвимости на время расследования.
В отличие от эксплойта, затрагивающего только отдельное децентрализованное приложение, эта проблема возникла на уровне инфраструктуры виртуальной машины, поэтому потенциальный масштаб последствий был значительно шире.
Первопричиной стала ошибка кэширования скриптов MoveVM
Расследование Initia выявило уязвимость в реализации MoveVM на Cosmos SDK.
Согласно обновлению проекта об инциденте, злоумышленник воспользовался уязвимостью в кэшировании скриптов MoveVM. Ошибка позволяла вредоносному коду обходить проверки, которые должны были предотвращать несанкционированное изменение состояния.
Затем злоумышленник смог подделать состояние MoveVM и зачислить себе активы, не обеспеченные должным образом.
Важно отличать это от простого выпуска дополнительных нативных токенов INIT.
Initia сообщила, что эксплойт не увеличил предложение INIT и не позволил злоумышленнику выпускать нативные токены INIT.
Вместо этого манипуляция состоянием привела к тому, что злоумышленник получил необеспеченные представления таких активов, как WETH, активы, связанные с iUSD, и USDC.
Таким образом, инцидент выявил уязвимость в обработке состояния средой исполнения, а не изъян в самой денежно-кредитной политике INIT.
Злоумышленник вывел через мосты активы примерно на $2.7 миллиона
До того как валидаторы остановили сеть, злоумышленник успел вывести из Initia активы примерно на $2.7 миллиона.
По сообщению Initia, среди выведенных средств было около 105 WETH, примерно 1.4 миллиона AUSD0 и около 1.08 миллиона USDC. Активы перемещали с использованием инфраструктуры LayerZero, Noble и Cross-Chain Transfer Protocol компании Circle.
Затем средства конвертировали примерно в 1,135.52 ETH и перевели на адрес Ethereum, указанный проектом.
Использование межсетевой инфраструктуры наглядно показывает одну из проблем, с которыми сталкиваются специалисты по безопасности блокчейнов после эксплойта.
Если активы, созданные незаконным путём, можно перевести в другую сеть и обменять на ликвидные активы, например ETH, сдержать последствия становится гораздо сложнее.
Остановка скомпрометированной сети может предотвратить новые транзакции внутри неё, но автоматически отменить перевод активов, уже попавших в другой блокчейн, невозможно.
Предложение нативного INIT не пострадало
Одно из ключевых уточнений Initia после атаки заключалось в том, что сам нативный токен INIT не был уязвим для метода выпуска токенов, использованного злоумышленником.
В ранних описаниях инцидента широко говорилось о несанкционированном выпуске токенов, что породило опасения, будто эксплойт мог затронуть предложение INIT.
Позже проект сообщил, что это не так.
Уязвимость позволила злоумышленнику манипулировать состоянием MoveVM и зачислять себе необеспеченные версии других активов, не меняя соответствующее предложение настоящих токенов. Нативный INIT в ходе атаки не выпускался.
Это различие важно, поскольку эксплойт, позволяющий произвольно увеличивать предложение нативного токена блокчейна, мог бы привести к гораздо более серьёзным экономическим последствиям.
Убыток в размере около $2.7 миллиона остаётся значительным, однако, согласно опубликованной на данный момент информации, инцидент не затронул базовый механизм эмиссии INIT.
Initia готовит патч безопасности
С тех пор Initia подготовила исправление уязвимости.
В проекте сообщили, что патч проходит проверку у партнёров по безопасности, прежде чем работа Layer 1 и роллапов будет возобновлена.
Вместо того чтобы сразу вернуть сеть в онлайн после выявления первопричины, Initia приостановила работу на время аудита безопасности исправления. Команда заявила, что представит конкретный план перезапуска после завершения аудита.
Кроме того, Initia совместно с партнёрами по безопасности работает над восстановлением активов, перемещённых во время эксплойта.
Полный отчёт о причинах и последствиях инцидента ожидается после завершения расследования и устранения уязвимости.
Почему ошибки виртуальных машин особенно опасны
Эксплойты смарт-контрактов обычно связаны с ошибкой в отдельном приложении.
Уязвимость в среде исполнения блокчейна создаёт совершенно иной риск.
Виртуальные машины отвечают за выполнение кода, используемого приложениями в блокчейне. Если допущения, заложенные в эту среду, можно обойти, одна и та же уязвимость потенциально может затронуть несколько приложений или активов.
По предварительным данным Initia, кэширование скриптов позволило специально сформированному коду обходить предусмотренные проверки безопасности.
В результате деталь реализации уровня исполнения превратилась в механизм, способный создавать экономически ценные активы, не обеспеченные резервами.
Этот инцидент показывает, почему аудит безопасности блокчейна не должен ограничиваться смарт-контрактами на уровне приложений.
Виртуальные машины, мосты, межсетевые системы обмена сообщениями, механизмы кэширования и логика переходов состояния — всё это часть периметра безопасности.
Межсетевая инфраструктура может усиливать последствия эксплойтов
Атака также подчёркивает роль, которую мосты могут играть во время инцидентов безопасности.
Злоумышленник не просто создал необеспеченные активы и оставил их внутри Initia.
Эти активы быстро перевели через межсетевые системы и обменяли на активы в Ethereum, прежде чем сеть успели остановить.
Такая последовательность действий сокращает время, которое есть у валидаторов и разработчиков протокола для реагирования.
Это также означает, что мониторинг безопасности всё чаще должен одновременно охватывать несколько сетей.
Аномалия, возникшая в одном блокчейне, уже через несколько минут может стать проблемой для Ethereum, Solana или эмитента стейблкоина, если активы можно переместить через взаимосвязанную инфраструктуру мостов.
Инцидент с Initia пополнил список угроз безопасности блокчейнов в 2026 году
Эксплойт Initia вновь напоминает, что всё более тесно взаимосвязанные архитектуры блокчейнов наряду с преимуществами создают новые предположения о безопасности.
Роллапы, мосты и модульные среды исполнения позволяют приложениям эффективно перемещать активы и данные между сетями, однако каждый дополнительный уровень добавляет код и инфраструктуру, которые должны работать корректно.
Реакция Initia ограничила последствия эксплойта: сеть остановили. Проект сообщает, что уязвимость уже выявлена, а патч проходит аудит.
Следующие важные этапы — завершение проверки безопасности, восстановление обеспечения затронутых активов и упорядоченный перезапуск Layer 1 и роллапов Initia.
До тех пор этот случай остаётся наглядным примером того, как ошибка низкоуровневой логики исполнения может быстро перерасти в межсетевой инцидент безопасности с ущербом в несколько миллионов долларов.
Отказ от ответственности: эта статья опубликована исключительно в информационных целях. Она не является юридической, налоговой, инвестиционной, финансовой или иной консультацией и не предназначена для использования в качестве таковой.