Initia – Unautorisierte Token-Prägung

Am 23. Oktober 2026 stoppte Initia seine Layer-1-Blockchain und seine Rollups, nachdem ein Angreifer eine Schwachstelle ausgenutzt hatte, um ungedeckte Tokens zu prägen und die Erlöse nach Ethereum zu überbrücken, wobei er etwa 2,6 Millionen US-Dollar auszahlte. Das Netzwerk wurde um 15:41:30 UTC ausgesetzt, und das Team hatte zum Zeitpunkt der ersten Offenlegung weder den vollen Umfang noch die Grundursache bestätigt.

Was geschah

Initia ist eine Cosmos-basierte Layer-1, die eine zentrale Chain mit anwendungsspezifischen Rollups (ihren „Minitias") verwebt und neben anderen Ausführungsumgebungen die Move Virtual Machine unterstützt. Laut On-Chain-Analysten missbrauchte der Angreifer eine Schwachstelle in einer Move-Funktion, um Tokens zu erzeugen, die durch keinerlei Sicherheiten gedeckt waren.

Der Sicherheitsforscher Spreek meldete als Erster die unautorisierte Token-Prägung und schätzte, dass rund 2,6 Millionen US-Dollar ausgezahlt worden seien, „mit mehr in Bewegung". Die Firma D2 Finance berichtete, dass der Angreifer 2 Millionen AUSD ohne ausreichende Deckung prägte und dann etwa 1,4 Millionen AUSD, 105 ETH und 1,08 Millionen USDC über Cross-Chain-Transfers nach Ethereum abzog. Die Erlöse wurden in einer Ethereum-Wallet mit rund 1.135,5 ETH konsolidiert, im Wert von etwa 2,73 Millionen US-Dollar.

Der Stablecoin-Emittent Agora bestritt, dass sein AUSD auf Initia geprägt worden sei, und erklärte, man betreibe keine Smart Contracts auf der Chain und der Vorfall betreffe ein Drittanbieterprodukt, das AUSD nutze. Initias nativer INIT-Token fiel kurzzeitig auf etwa 0,115 USD, bevor er sich erholte.

Folgen

• Initia stoppte seine Layer-1-Chain und alle Rollups, um weitere Prägungen und Abflüsse zu unterbinden, und erklärte, seine Sicherheitsteams, Validatoren und Börsen würden ermitteln.
• Das Team warnte Nutzer vor inoffiziellen Links und gefälschten Wiederherstellungsangeboten und nannte in seinen ersten Stellungnahmen weder einen Neustart-Zeitplan noch eine bestätigte Verlustsumme oder eine benannte Grundursache.
• Die geprägten Tokens, die auf Initia verblieben (etwa synthetisches iUSD), konnten nicht zu ihrem angegebenen Wert eingelöst werden, sodass die online kursierenden nominalen „Präge"-Summen weit höher waren als der auf Ethereum tatsächlich realisierte Betrag.

Warum es wichtig ist

Initias Vorfall ist ein Lehrbuchbeispiel für einen Exploit mit unautorisierter Prägung: Wenn ein privilegierter Präge-Pfad ohne echte Sicherheiten erreicht werden kann, kann ein Angreifer aus dem Nichts Wert erzeugen und diesen in einem Wettlauf auf eine Chain überbrücken, die das Opfer nicht einfrieren kann. Dasselbe Muster leerte Cashio, dessen Infinite-Mint-Bug einem Angreifer erlaubte, ungedecktes CASH auf Solana zu drucken.

Er unterstreicht zudem die Angriffsfläche neuerer Ausführungsumgebungen. Move-basierte Plattformen versprechen stärkere Ressourcensicherheit, doch ein einziger Logikfehler in einem Präge-Pfad genügt, um diese Garantien zu untergraben — wie der Business-Logic-Exploit gegen Cetus Protocol auf Sui zuvor zeigte. Schließlich verdeutlicht der Vorfall, wie schnell Wert entkommt, sobald er eine komponierbare L1 erreicht: Das Anhalten der Chain stoppte neue Prägungen, doch die bereits nach Ethereum überbrückten Mittel lagen außerhalb der Reichweite der Validatoren.