Initia остановила L1 и роллапы после эксплойта минта: оценки потерь — до $2,73 млн

Сеть выключили, когда деньги уже ушли

Initia остановила свой первый уровень и подключённые к нему роллапы Minitias в 3:41 UTC в пятницу. В сообщении в X команда указала, что работает с исследователями безопасности, валидаторами и биржами, чтобы установить полный масштаб инцидента. Причины и размер потерь на момент публикации официально не названы.

Первым на проблему указал исследователь, известный под псевдонимом Spreek. По его наблюдениям, атакующий сминтил токены без авторизации и успел конвертировать около $2,6 млн в другие активы, причём часть средств продолжала двигаться уже после первых сообщений. Остановка сети отрезала злоумышленнику доступ к дальнейшему минту, но основная часть похищенного к этому моменту уже ушла за пределы Initia — на Ethereum. У такого решения есть и цена: вместе с атакующим доступ к своим средствам потеряли все пользователи L1 и роллапов.

Два миллиона AUSD без обеспечения

Детальную реконструкцию дала платформа D2 Finance. По её данным, уязвимость в одной из функций Move позволила создать ровно 2 млн токенов AUSD без достаточного обеспечения. Дальше атакующий воспользовался кросс-чейн переводами и вывел на Ethereum примерно 1,4 млн AUSD, 105 ETH и 1,08 млн USDC.

Выведенные активы сошлись в одном кошельке на Ethereum, где скопилось около 1 135,5 ETH — порядка $2,73 млн по оценке D2 Finance. Крупный перевод на 1 135,5 ETH виден и в данных Ethereum: он прошёл уже после первых обменов на стейблкоины, что похоже на консолидацию похищенного и перевод его в более ликвидный актив.

Расхождение в оценках — $2,6 млн у Spreek и $2,73 млн у D2 Finance — объясняется разными моментами подсчёта: часть средств двигалась в процессе. Собственных цифр Initia не публиковала, поэтому обе оценки остаются внешними.

AUSD, Agora и сторонний продукт

Эмитент стейблкоина AUSD, компания Agora, заморозила аккаунт, связанный с эксплойтом. При этом в Agora подчёркивают: своих смарт-контрактов в сети Initia они не разворачивали, пострадал сторонний продукт, который использовал AUSD. Записи Ethereum показывают, что 1,4 млн AUSD вышли через адаптер моста.

Практический эффект заморозки ограничен. По данным The Defiant, к моменту блокировки аккаунт уже обменял 1,4 млн AUSD на ETH — стейблкоин, над которым у эмитента есть рычаг, успели превратить в актив, который заморозить нельзя. Похожая развязка повторяется в последние месяцы: централизованный контроль над стейблкоином работает только в узком окне до конвертации.

Реакция токена и рыночный фон

Нативный токен INIT в пятницу кратковременно падал примерно до $0,115, затем вернулся выше $0,15. По данным CoinGecko, он торговался около $0,1496 — примерно на 14% выше, чем сутками ранее. Данных об объёмах торгов и о том, что именно вызвало отскок, в публичных материалах нет, поэтому связывать его напрямую с ходом расследования нет оснований.

Стоит учитывать и общий рыночный фон: активы атакующего сведены в ETH, а сам Ether в октябре подешевел с $2700 до $2438 — почти на 10%. Из американских спотовых Ether-ETF с начала октября вывели $1,08 млрд, что полностью перекрыло сентябрьский приток в $832 млн. Биткоин в это время держался около $82 954.

Что остаётся неизвестным

Открытых вопросов больше, чем ответов, и почти все они зависят от самой команды Initia:

• официальная причина и точный размер потерь — не подтверждены;
• сроки перезапуска L1 и роллапов — не объявлены;
• последствия для пользователей и позиция по компенсациям — не описаны;
• затронуты ли другие продукты, использующие AUSD, помимо одного стороннего, — неизвестно;
• удалось ли биржам заблокировать какие-либо средства — данных нет.

Технически инцидент укладывается в знакомую схему: ошибка в логике минта, затем быстрый вывод через мост и конвертация в ETH. Отдельный сюжет — архитектура Initia как сети взаимосвязанных роллапов: остановка базового уровня тянет за собой Minitias, и восстановление потребует не только патча, но и согласованного перезапуска всей связки с валидаторами. До публикации разбора от команды оценки масштаба останутся внешними, а статус похищенного — вне контроля эмитента: деньги уже в ETH.