MoveVM漏洞被利用铸造270万美元Initia停摆L1

Initia冻结L1与全部Rollup

Initia于10月23日星期五15:41:30(UTC)停运其L1区块链以及与之相连的所有rollup,团队称这是一起安全事件。项目官方X账户发布的暂停公告表示,团队正在与安全公司、验证者和交易所协作,以确定影响范围,并提醒用户警惕停机期间流传的非官方链接和说法。链上数据显示,链停在第23,365,925个区块高度,此后再无新区块。约二十分钟后,联合创始人Ezaan Mangalji在X上给出首个技术判断:Initia构建在Cosmos SDK之上的MoveVM执行环境中存在一个“Day 0”漏洞,攻击者借此可以直接在L1上额外铸造代币。MoveVM是执行Move语言编写的智能合约的虚拟机,对一条Cosmos SDK链而言是少见的选择;Mangalji所说的“Day 0”意味着该缺陷从首次部署起就存在于代码中,而非后续更新引入。他强调原生INIT代币未受影响。在验证者来得及停止链之前,攻击者已铸造并跨出价值约270万美元的AUSD、ETH和USDC。Mangalji没有披露漏洞的具体原理,最终损失数字也未获确认。Initia的L1负责协调各应用专属rollup之间的互操作性与流动性,这一结构比layer-3区块链堆叠在rollup之上只差一层;通过质押为网络提供安全的验证者也被卷入调查。对用户而言,影响是全面的:充值、兑换和跨rollup转账全部即时停摆。截至星期六上午,重启时间未定,漏洞细节未公布,修复方案也没有着落。

@initia · X 帖子

暂停公告.

在 X 上查看

270万美元流向何处

链上证据补齐了官方表态之外的空白。一名安全研究者在15:27(UTC)发出警告,比停链早十四分钟,称代币正在被无限量铸造,约260万美元已被套现,更多转账仍在进行。以太坊记录显示,攻击者地址0xDD92...edFA的 activity 更早:15:03(UTC),该地址通过1inch聚合器在单笔交易(哈希0xeb5e85e76f00a7a84dfe4d2d6aab146a769785b3d80307c67dde14c79f36c5ae)中路由了140万枚AUSD。链停止五秒后,即15:41:35(UTC),同一地址将1,135.5枚ETH转移到一个新的以太坊地址0x358e...CAC8。由于这笔转账发生在以太坊上,Initia的停链无法波及。截至星期六上午,新地址仍持有全部1,135.5枚ETH,无任何转出,按ETH约2,381美元计,价值约270万美元,与Mangalji的估计相符。AUSD发行方Agora在夜间两次回应:其在Initia上没有部署任何智能合约,该链上不存在AUSD;其他网络上的部署有足额支撑、运行正常,其安全团队将在已部署AUSD的链上冻结攻击者地址持有的AUSD。交易所动作很快。Upbit在15:57(UTC)以疑似安全事件为由暂停INIT充值和提现,随后警告客户波动可能扩大;Bithumb采取了同样的措施。交易本身仍在继续,INIT在24小时内于0.114美元至0.156美元之间波动,星期六清晨市场数据显示其接近0.138美元,涨4.6%,此前盘中一度涨12.5%,市值约2,920万美元。该代币仍比2025年5月1.42美元的历史高点低约90%,深陷熊市。

资金链路留下的悬案

把链上记录与团队表态合在一起看,这次的资金链路异常清晰。铸造交易哈希和后续转账全部公开可查,停放在全新地址中的1,135.5枚ETH是最明确的追回目标;Agora的冻结指令可以在已部署AUSD的链上追回部分资金,但ETH和USDC两条腿没有对应的补救手段。悬而未决的是漏洞本身:没有事后报告,没有根因披露,没有重启日期。在Initia公布经验证的修复方案之前,网络上的每一个rollup都将保持冻结,而一个运行在Cosmos SDK链上的MoveVM出现Day 0级缺陷,正是其他基于Move的团队这个周末要逐一排查的事。