10 ноября валидаторы Initia остановили блокчейн после того, как злоумышленник вывел из сети активы примерно на $615 тыс. По предварительным данным команды, он получил доступ к приватным ключам и с их помощью подделал межсетевые переводы. Это вторая атака на Initia менее чем за три недели. В первый раз сеть пришлось остановить 23 октября, когда из нее вывели около $2,7 млн. При этом среди инвесторов проекта Initia указаны Binance Labs, Delphi Ventures и Hack VC.
По оценке Protos, в результате двух инцидентов из сети вывели около $3,3 млн. Эта сумма превышает текущую TVL протоколов Initia. С пикового значения, достигнутого вскоре после запуска сети в 2025 году, TVL снизилась более чем на 90%.
Initia служит блокчейном первого уровня и общим центром ликвидности для подключенных к нему сетей, которые в проекте называют Interwoven Rollups. Когда активы переводят из основной сети в один из таких роллапов, их блокируют на специальных счетах в базовом блокчейне. Именно с этих счетов и совершались несанкционированные переводы.
Первые признаки проблемы появились 9 ноября. Тогда команда договорилась временно остановить роллапы, а базовый блокчейн продолжил работать. На тот момент разработчики сообщили, что не обнаружили потерь средств пользователей. После обнаружения переводов с резервных счетов валидаторы остановили и основную сеть. Она прекратила выпускать блоки 10 ноября в 06:18 UTC.
Согласно предварительным выводам специалистов Initia, скомпрометированные ключи позволили злоумышленнику подделать сообщения протокола IBC, через который блокчейны обмениваются данными и активами. До остановки сети через блокчейн Noble успели вывести около $605 тыс. в USDC и еще примерно $10 тыс. в других токенах. Большая часть остальных активов, списанных с резервных счетов, на момент остановки находилась в самой Initia, что позволило валидаторам совместно вернуть часть средств.
Октябрьский взлом произошел из-за ошибки в механизме кеширования скриптов MoveVM — виртуальной машины, которая исполняет код в Initia. Уязвимость позволила атакующему обойти проверки и изменить записи о состоянии сети. На его счете появились необеспеченные остатки WETH, iUSD и USDC. По данным команды, общий объем эмиссии этих активов при этом не изменился. Атака также не затронула предложение собственного токена сети INIT.
До того, как валидаторы остановили базовый блокчейн и роллапы, злоумышленник успел вывести через кроссчейн-мосты 105 WETH, около 1,4 млн AUSD0 и 1,08 млн USDC. Их совокупную стоимость команда оценила примерно в $2,7 млн. Впоследствии атакующий обменял выведенные активы на 1135,52 ETH в сети Ethereum. Разработчики исправили ошибку в MoveVM, и 2 ноября сеть Initia возобновила работу. Через восемь дней валидаторам пришлось вновь остановить сеть.
После повторной остановки некоторые пользователи призвали команду закрыть проект и высказали подозрения в ее причастности к атаке. В то же время за сутки цена INIT выросла примерно на 60%, что вызвало в сообществе подозрения в манипулировании рынком.
