Initia遭黑客攻击损失270万美元，MoveVM漏洞导致未经授权代币被铸造_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Initia遭黑客攻击损失270万美元，MoveVM漏洞导致未经授权代币被铸造

2026-10-28 20:52:17

Initia因严重安全漏洞暂停主网与Rollup，攻击者盗取约270万美元资产

Initia正在修复一项关键性安全漏洞。此前，一名攻击者利用其MoveVM实现中的缺陷，制造了无支撑资产并将约270万美元资金从网络中转移出去。

在检测到此次安全事件后，该模块化区块链项目于10月23日紧急暂停了其Layer 1及关联的Rollup网络。Initia随后表示，攻击者利用了MoveVM脚本缓存机制中的Bug，使恶意代码能够绕过安全检查并操纵虚拟机所见的状态。

据项目方披露，此次事件主要影响了包装资产和跨链桥接资产，并未涉及Initia的原生INIT代币。

安全事件导致L1与Roll停摆

为了配合开发者、验证者、交易所及安全专家对事件的调查，Initia于10月23日UTC时间15:41停止了Layer 1和Rollup网络的运行。

区块链研究员Spreek的初步报告指出，攻击者找到了一种未经授权铸造资产的方法，并已将其中的260多万美元移出生态系统。随后，Initia提供了更多细节，确认在网络被暂停前，约有270万美元资产已被桥接转出。

停止基础网络和Rollup的决定防止了进一步的损失，同时让开发人员有时间深入调查该漏洞。与仅限于单个去中心化应用（DApp）的漏洞不同，此问题影响到了虚拟机层面的基础设施，因此潜在影响范围更为广泛。

MoveVM脚本缓存Bug是根本原因

Initia的调查将漏洞根源锁定在其基于Cosmos SDK实现的MoveVM上。根据项目方的事故更新，攻击者利用了MoveVM脚本缓存中的一个缺陷。该Bug允许恶意代码绕过本应阻止未经授权状态操作的检查机制。

借此，攻击者得以伪造MoveVM的状态，为自己分配未得到适当支持的资产。这一点至关重要，因为它不同于简单地铸造额外的原生INIT代币。Initia强调，该漏洞并未增加INIT的供应量，也未允许攻击者铸造原生INIT代币。

相反，被操纵的状态导致攻击者获得了包括WETH、iUSD相关资产和USDC在内的无支撑资产代表权。因此，该事件暴露的是执行环境处理状态时的漏洞，而非INIT本身货币政策方面的缺陷。

攻击者通过跨链基础设施转移约270万美元

在验证者暂停网络之前，攻击者已将约270万美元的资产从Initia转移出去。Initia表示，流出的资金包括约105个WETH、约140万个AUSD0以及约108万个USDC。这些资产通过LayerZero、Noble和Circle的跨链传输协议等基础设施进行了转移。

随后，这些资金被转换为约1,135.52个ETH，并转入项目方识别的一个以太坊地址。跨链基础设施的使用凸显了区块链安全团队在漏洞发生后面临的挑战。一旦不当创建的资产被转移到其他网络并兑换成ETH等流动性资产， containment（遏制）工作将变得困难得多。虽然停止受损链可以防止本地发生额外交易，但无法自动逆转已到达其他区块链的资产。

原生INIT供应未受影响

袭击发生后，Initia澄清的关键一点是：原生INIT代币本身并未受到攻击者所用铸造方法的威胁。早期的事故描述笼统地提到了未经授权的代币铸造，这引发了人们担心该漏洞可能会破坏INIT的供应量。但项目方后来证实并非如此。

该漏洞允许攻击者以操纵MoveVM状态的方式，为其他资产的无支撑版本记账，而不会修改相应的合法代币供应量。作为攻击的一部分，并没有铸造原生INIT。这一区分意义重大，因为任何能够任意增加区块链原生代币供应量的漏洞都可能带来更广泛的经济后果。

尽管约270万美元的损失仍然显著，但根据目前发布的信息，该事件并未损害INIT基于其底层发行机制的安全性。

Initia准备安全补丁

此后，Initia已起草了针对该漏洞的修复方案。项目方表示，在重新启动Layer 1和Rollup之前，该补丁正由安全合作伙伴进行审核。与在确定根本原因后立即恢复网络在线运行不同，Initia在修复程序经过安全审计之前保持运营暂停。团队表示，一旦审计完成，将提供具体的重启计划。

此外，Initia还在与安全合作伙伴合作，开展涉及在漏洞利用期间转移的资产的恢复工作。预计在完成调查和补救工作后，将发布全面的事后分析报告。

为何虚拟机漏洞尤为严重

智能合约漏洞通常涉及单个应用程序内部的错误。而区块链执行环境中的漏洞则带来了不同的风险。虚拟机负责执行区块链上应用程序使用的代码。如果该环境内的假设可以被绕过，多个应用程序或资产可能会继承相同的弱点。

在Initia的案例中，初步发现表明，脚本缓存允许特别构造的代码避免预期的安全检查。这使得执行层中的一个实现细节变成了能够产生经济价值且无支撑资产的手段。这一事件证明了为什么区块链安全审计不能仅停留在应用层的智能合约上。虚拟机、桥接器、跨链消息系统、缓存机制和状态转换逻辑都构成了安全边界的一部分。

跨链基础设施可能放大漏洞影响

此次攻击也凸显了桥接在安全事件中所扮演的角色。攻击者不仅仅是创建了无支撑资产并将其留在Initia内部，而是迅速通过跨链系统将这些资产转移，并在网络被停止之前将其转换为以太坊上的资产。这一序列减少了验证者和协议开发人员的响应时间，也意味着安全监控日益需要在多个网络上同时运行。如果一个区块链上出现的异常情况可以通过互联的桥接基础设施流动，几分钟内就可能演变成以太坊、Solana或稳定币发行商的问题。

Initia事件增加了2026年的区块链安全风险警示

Initia漏洞再次提醒我们，日益互联的区块链架构在带来便利的同时，也创造了新的安全假设。Rollup、桥接器和模块化执行环境允许应用程序在不同网络之间高效地移动资产和数据，但每一层新增的代码和基础设施都必须正确运作。

Initia通过停止网络限制了漏洞的影响，并表示目前已确定漏洞所在，补丁正在接受审计。接下来的重要里程碑将是完成安全审查、恢复受影响资产的支持，以及有序地重启Initia的Layer 1和Rollup。在此之前，该网络仍是一个有用的案例研究，展示了低级执行漏洞如何迅速演变为数百万美元的跨链安全事件。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文