Initia因Day-0 Mint漏洞损失270万美元，紧急暂停L1和Rollups_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Initia因Day-0 Mint漏洞损失270万美元，紧急暂停L1和Rollups

2026-10-25 20:07:11

Initia 因安全事件暂停出块：零日漏洞与桥接机制的致命缺陷

2026年10月23日UTC时间15时41分30秒，Initia 停止生成区块。这一决定是在攻击者凭空铸造了200万枚 AUSD 约42分钟后作出的，也是在匿名研究人员 Spreek 在链上标记该异常活动后14分钟作出的。项目方最初的通知仅将其称为“安全事件”，并未透露具体技术细节。随后的一天里，真相碎片化地浮现出来，共同描绘出一个比供应冲击更精准、比常规漏洞更尖锐的事件本质：一笔未经授权的铸造行为，一旦触及跨链桥，便瞬间转化为真金白银。

Initia 官方声明（2026年10月23日）：

截至协调世界时10月23日下午3:41:30，由于发生安全事件，Initia L1 及 Rollups 已暂停运行。我们的团队正在积极调查局势，并与安全团队、验证者和交易所合作，以确定任何影响的范围。我们将通过官方渠道分享经核实的信息。在此期间，请对流传的非官方链接、消息或声明保持警惕。

MoveVM 中的零日漏洞，而非原生代币问题

Initia 是一个基于 Cosmos SDK 构建的 Layer-1 区块链，托管着一个名为 Minitias 的互连 Rollup 网络。因此，基础链的停机意味着整个星座式网络的离线，而不仅仅是单一应用程序的故障。对于首份通知中未披露的细节，联合创始人 Ezaan Mangalji 提供了补充说明：“据我们所知，这是一个与 Initia 在 Cosmos SDK 上的 MoveVM 相关的 Day-0（零日）漏洞，允许攻击者在 Initia L1 上铸造额外代币，但不涉及原生 INIT 代币。”他补充道，攻击者在链被暂停前，“成功铸造并桥接了价值约270万美元的 AUSD、ETH 和 USDC。”

这一限定词至关重要。Initia 尚未发布事后分析报告，其官方账号也未确认最终损失金额。明确界定受影响的是哪些资产，是理解此次事件性质的关键。

MoveVM 是执行 Initia 智能合约的虚拟机。Day-0 漏洞指的是随初始部署一同存在的缺陷。联合创始人的初步诊断将该漏洞定位在 Initia 对 Cosmos SDK 上 MoveVM 的实现内部。利用此漏洞进行的攻击方式是“铸造”——即在通常发行前所需的授权之外，创建代币余额。然而，漏洞未触及的部分同样重要：原生 INIT 代币不在攻击范围内，因此此次事件并未导致链上原生代币的供应膨胀。

这一界限将此次事件与最糟糕的情况区分开来。如果攻击者印制的是原生代币，会导致所有持有者遭受无声的稀释；而如果攻击者印制的是其他资产的桥接表示形式（如 AUSD、ETH 和 USDC），则受到这些表示形式背后真实抵押品的限制。第一天流传的两个损失数字显示了这种限制是如何迅速失效的。Spreek 早期的估计显示，在资金转移仍在进行时，套现金额为260万美元；联合创始人后来的数字为“约270万美元”。这大约10万美元的差距，是首份报告发出后继续流动的资金。

铸造如何通过在桥接处转化为现实货币

根据分析公司 D2 Finance 解码的交易记录，行动始于 UTC 时间14时59分26秒的一笔签名交易，该交易在 Initia 侧铸造了200万枚 AUSD。153秒后，一条 LayerZero 消息从以太坊侧适配器释放了140万枚真实 AUSD；随后在15时06分47秒跟进了105 ETH，另有108万枚 USDC 作为新生成的铸造币通过 Circle 的 CCTP 到达以太坊。根据 D2 Finance 的时间戳，在铸造发生后7分21秒内，就有265万美元回到了以太坊——提取速度约为每秒6000美元。

机制部分是事后分析必须解释的核心。Initia 的桥接资产位于 OFT 适配器后面，这些锁箱合约持有真实代币，并在匹配 Initia 侧余额被销毁时释放它们。适配器可以验证代币是否已被销毁，但在 D2 Finance 的框架下，它无法“检查被销毁的代币是否曾有过相应的抵押支持”。因此，攻击者铸造了一个无抵押支持的请求权，将其销毁，并收集了真实的抵押品。D2 Finance 还指出，即使回滚以擦除销毁记录，也无法擦除释放记录，这使得“全额赔偿”的问题悬而未决。这种“桥接与抵押支持”的失败在此生态系统中已经引发了诉讼，包括 Kelp DAO 与 LayerZero 之间价值2.92亿美元的 rsETH 争议。

Agora 澄清从未部署于 Initia

最强烈的回应来自 AUSD 稳定币的发行人 Agora。“Agora 没有在 Initia 上部署任何智能合约，”该公司写道。“我们的安全团队一直在监控局势，并将冻结在部署有 AUSD/Agora 智能合约的链上持有 AUSD 的黑客地址相关资金。”该声明将发行人从漏洞中剥离出来，同时证实了在 Initia 上铸造的200万枚“AUSD”并非 Agora 自己的原生代币。

这是本文的核心张力所在。同一个代码符号“AUSD”在不同链上可能代表两种含义：一链上是 Agora 的原生发行，另一链上是其桥接表示形式。攻击者利用了第二种情况。Agora 的保证在于，它仍然可以在其实质合约所在的链上冻结资金；但残余风险在于，桥接表示形式是由适配器锁箱中持有的真实 AUSD 支持的，而这些真实 AUSD 已经被转移。

Cosmos 系网络此前已见过此类失败模式。今年10月，Cosmos Labs 在 KiiChain 遭遇1.48亿美元漏洞后敦促 EVM 链暂停，这表明“铸造-桥接”攻击已成为跨生态系统的一种 recurring failure mode（重复性故障模式），而非一次性漏洞。

停摆的影响与未解之谜

全面链停机是网络拥有的最粗暴的工具，Initia 有意使用了这一手段。停止共识可以防止攻击者进一步铸造和桥接资金，但也冻结了网络上每个合法用户、应用程序和验证者。只有当团队判断漏洞可能导致资金持续流失时，这种权衡才是合理的，早期关于“资金仍在流动”的描述表明情况确实如此。

市场将此事件视为可控的。根据 CoinGecko 数据，INIT 原生代币在10月23日跌至约0.115美元，随后反弹至0.15美元以上——这一反应符合有界、非稀释性漏洞的特征，而非供应冲击。目前仍悬而未决的是运营层面的问题：Initia 尚未设定重启日期，其官方账号也未确认最终损失总额或具体的技术原因。事故发生六小时后，该链仍处于停机状态，停留在区块高度 23365925。

接下来值得关注的是程序性进展，而非投机性猜测。Initia 表示将通过官方渠道分享核实过的信息，而一份命名确切 MoveVM 缺陷及全额赔偿计划的事后分析报告将是下一个真正的信号。在此之前，确凿的事实范围小于流传的数字：链被暂停，联合创始人的初步诊断指向一个 Day-0 MoveVM 漏洞，且在任何人能够暂停网络之前，约有270万美元的桥接资产已离开并流向以太坊。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文