Initia在Day 0漏洞导致未经授权操作后暂停网络_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Initia在Day 0漏洞导致未经授权操作后暂停网络

2026-10-24 04:51:38

Initia 因安全事件暂停主网及 Rollup 运行，攻击者盗取约 270 万美元资产

10 月 23 日，Initia 在其 Layer 1 区块链及连接的 Rollup 网络发生安全事件后宣布暂停服务。此次漏洞导致攻击者未经授权铸造代币，并在网络停止前转移了价值约 270 万美元的资产。Initia 联合创始人 Ezaan Mangalji 表示，初步调查显示，该问题源于 Cosmos SDK 中 MoveVM 实现的一个此前未知的 Bug。

Mangalji 指出，虽然该漏洞允许未经授权地铸造代币，但并未波及 INIT（该区块链的原生代币）。在链上暂停之前，攻击者成功铸造并桥接出了价值约 270 万美元的 AUSD、ETH 和 USDC。需要注意的是，目前尚不能将此数字视为 Initia 的最终确认损失，因为项目方仍在评估事件的全面影响。Initia 表示，正与安全团队、验证节点及交易所合作，以确定泄露范围。

Initia 铸造漏洞是如何运作的？

初步技术解释的核心在于 MoveVM，这是 Initia 生态系统部分组件所使用的虚拟机环境。Mangalji 将这一漏洞描述为 Initia 在 Cosmos SDK 上实现的 MoveVM 中存在的一个未知缺陷。关键问题在于，攻击者似乎能够在没有正常授权的情况下创建资产。如果这些新创建的资产随后被桥接或兑换为有合法支持的资产，那么未经授权的铸造就不再仅仅是一个会计问题，而是变成了经济层面的提取行为。这一区别在近期其他跨链事件中已有所体现。

例如，今年 10 月，Cysic 在攻击者未经授权铸造 1000 万 CYS 后暂停了其桥接服务。在那起案例中，创造的数量并不等同于攻击者实际获得的收益，因为部分代币仍可追踪或受到限制。这一原则同样适用于 Initia：理论上可铸造的数量、成功桥接出的数量以及最终的经济损失是三个不同的数据指标。截至目前，Initia 仅提供了资产外流规模的估算，尚未完成损失对账。

投资者启示

关键数据并非可能铸造了多少代币，而是攻击者在网络暂停前成功提取了多少真实流动性。

为何 Initia 同时暂停主网与 Rollup？

停止网络可以限制攻击者继续利用受影响的执行路径或在开发者调查期间转移更多资产的能力。然而，整个区块链的停机也会影响依赖相同基础设施的合法用户和应用。Initia 的架构将其 Layer 1 与应用特定的 Rollup 紧密链接。因此，同时暂停两者代表了比禁用单个应用或桥接合约更广泛的遏制措施。当漏洞威胁到超出单一协议范围的损失时，区块链停机正日益成为一种应急响应手段。

8 月，Cronos 验证者在 Tectonic 漏洞事件中暂停了区块链，阻止了大多数涉嫌与漏洞相关的资产离开网络，同时也停止了无关交易。对于 Initia 而言，停机的有效性取决于有多少价值已经转移到外部网络，以及生态系统中是否仍有额外的未授权资产存在。

此次事件会影响 INIT 代币供应量吗？

根据 Initia 的初步调查结果，该漏洞不适用于原生 INIT 代币。这是一个重要的区分点，因为这意味着目前并没有证据表明攻击者创造了额外的 INIT 供应量。尽管如此，INIT 在安全事件公开后经历了剧烈波动。该代币最初下跌了约 14%，随后收复失地，并在初始事件更新当日以高出约 14% 的水平交易。这种反弹并不能解决根本的安全问题。

投资者仍需确认哪些资产被铸造、Initia 上剩余的未授权价值多少、桥接储备金或流动性提供者是否吸收了损失，以及在恢复运营前需要进行哪些技术更改。

投资者启示

目前原生 INIT 供应量未被识别为已受损，但在 Initia 完成会计核算之前，未解决的桥接负债和网络停机仍是重大风险。

Initia 在重启前必须确立什么？

下一次披露需要超越最初的漏洞估算。Initia 需要确定易受攻击的代码路径，确定确切哪些资产是在未经授权的情况下创建的，并将其与成功离开网络的资产进行对账。这种会计处理可能会显著改变早期的损失估算。此前曾有报道指出，Symbiosis 在桥接漏洞后追回了 15 枚比特币，但关于追回资产与攻击者实际收益之间的关系仍存在疑问。

Initia 还需要说明该缺陷是否已完全修补、验证者是否需要部署升级，以及将采取何种保障措施以防止再次使用相同的铸造路径。仅仅提供一个重启时间表无法回答这些问题。在完成这些工作之前，约 270 万美元最好被视为 Initia 联合创始人所说的攻击者在暂停前铸造并桥接出的金额，而非最终确认的损失。项目的最终事件报告需要在建立财务影响之前，对未授权发行、桥接资产以及任何可追回资金进行对账。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文