Initia因MoveVM代币铸造漏洞损失270万美元后暂停网络

区块链文库报道：

Initia 因 MoveVM 漏洞导致 270 万美元被盗而暂停网络服务

由于攻击者利用此前未知的软件漏洞铸造了未经授权的代币，并从跨链桥储备中提取了约 270 万美元的加密货币，Initia 被迫暂停了其 Layer 1 区块链及连接的 Rollup 服务的运行。

2026 年 10 月 23 日 UTC 时间 15:41:30，网络停止处理交易，导致用户无法在 Initia 互联的区块链基础设施中进行操作。在验证者协调进行紧急停机之前，攻击者已将 AUSD、以太坊（ETH）和 USDC 转移至以太坊网络。

Initia 联合创始人 Ezaan Mangalji 发现了 Cosmos SDK 中 Move 虚拟机（MoveVM）实现存在的一个先前未知的缺陷。该漏洞允许在基础区块链上未经授权地创建代币，但并未赋予攻击者铸造额外原生 INIT 代币的能力。

攻击者铸造无支撑代币并抽干桥接储备

此次 exploits 始于 UTC 时间约 14:59，当时攻击者执行了恶意交易，生成了通常通过跨链桥转入 Initia 的资产的无支撑代表代币。Bitquery 旗下的 Anonchain 调查追踪到，名义面值约为 748 万美元的未经授权代币被分四批在 13 秒内铸造。然而，其中大部分金额由无法按声明价值兑换的合成 iUSD 组成。

攻击者成功从支持 AUSD、ETH 和 USDC 的桥接储备中提取了约 273 万美元的真实资产。此次提款利用了 Initia 上发行的代币与其在其他网络上持有的底层资产之间的关系。通过看似合法的桥接交易销毁未经授权余额，可以从相应的储备中释放真实的加密货币。

约 140 万枚 AUSD 和 105 枚 ETH 通过以太坊侧的 LayerZero 适配器释放，另外 108 万枚 USDC 则通过 Noble 和 Circle 的跨链转账协议（CCTP）转移。随后，被盗资产被转换为约 1,135.5 枚 ETH，并集中存入一个以太坊钱包。

此事件紧随最近的 Cysic 桥接漏洞之后，当时一名攻击者铸造了 1000 万枚未经授权的 CYS 代币，并将约 72.7 万美元的收益转移至以太坊。

USDC 储备几近耗尽，Agora 作出回应

此次攻击大幅减少了 Initia 上桥接资产背后的流动性，导致合法用户立即面临提现问题。Noble 的 USDC 储备最初持有约 109 万美元，在事件及后续提款过程中降至仅 63 美元。余额枯竭阻止了进一步的赎回，在网络停机前有 55 次失败的提款尝试记录，其中许多涉及来自同一交易机器人的重复请求。

以太坊侧的 ETH 储备损失了约 96% 的持仓，而 AUSD 适配器的储备也耗尽了约 71%。类似的储备漏洞此前也曾影响 Liquid Network，该网络在九月暂停运营，原因是近 4000 枚 BTC 通过未经授权的 peg-out 离开了其联盟钱包。

AUSD 发行商 Agora 确认其自身的稳定币基础设施未受影响。该公司未在 Initia 上部署任何原生 AUSD 合约，其现有的稳定币储备仍完全有支撑。Agora 还承诺冻结受支持网络上与攻击者相关的 AUSD 余额。然而，在被干预之前，被盗的 AUSD 已被转换为 ETH，且尚未建立针对这些收益的完成冻结。

交易所暂停 INIT 转账，调查持续进行中

韩国交易所 Upbit 在安全事件后暂时暂停了 INIT 的存款和取款，并发出了交易警告通知。作为初步行动的一部分，现货交易并未暂停。KuCoin 也于 10 月 24 日暂停了 INIT 的存款和取款，理由是必要的网络维护。

Initia 正在与安全专家、验证者和加密货币交易所合作，以确定漏洞的全部范围，并评估受影响桥接的损失情况。目前调查尚未确定最终的财务损失、完整的技术根本原因或针对受影响用户的赔偿安排。也未宣布补丁发布或确认的网络重启日期。

Initia 警告用户，在 Layer 1 区块链及连接的 Rollup 仍处于暂停状态期间，应避免点击非官方的恢复链接和可疑消息。