Initia hält Blockchain nach Angriff an, Schaden noch unbestätigt

Die Layer-1-Blockchain Initia steht seit Donnerstag, 17:41 Uhr MESZ, still, samt allen Rollups. Das Projekt spricht von einem Sicherheitsvorfall und nennt noch keine Summe. Nach einer Analyse von D2 Finance hat ein Angreifer auf Initia Stablecoins aus dem Nichts erzeugt und über Bridges rund 2,65 Millionen Dollar echter Werte nach Ethereum geholt.

Bestätigt hat Initia bisher nur den Stillstand: “As of Oct 23, 2026, 3:41:30 PM UTC, the Initia L1 and Rollups have been halted due to a security incident”, schrieb das Projekt um 18:00 Uhr MESZ auf X. Man prüfe den Umfang gemeinsam mit Sicherheitsteams, Validatoren und Börsen und warne vor inoffiziellen Links und Nachrichten.

Zwischen Prägung und Abfluss lagen 153 Sekunden

Den Hergang hat D2 Finance aus den Transaktionen rekonstruiert. Um 16:59 Uhr MESZ prägte demnach eine einzige signierte Transaktion auf Initia 2 Millionen AUSD, den Dollar-Stablecoin von Agora, ohne jede Deckung. Die Tokens schickte der Angreifer über die Bridge von LayerZero zurück, und auf Ethereum gab der Adapter dafür echte Coins frei.

Um 17:01 Uhr MESZ gingen so 1,4 Millionen AUSD an seine Adresse. Das zeigt die Ethereum-Blockchain auch in einer eigenen Abfrage.

Fünf Minuten später folgten 105 Ether aus dem Adapter für Ether, laut D2 Finance 96 Prozent seines Bestands, dazu nach derselben Analyse 1,08 Millionen USDC über Circles Bridge CCTP. Die Stablecoins tauschte der Angreifer binnen Minuten in Ether. Angehalten wurde die Kette erst 42 Minuten nach der Prägung.

Am Abend lagen 1.135,5 Ether in einer frischen Wallet, nach der Rechnung von D2 Finance rund 2,73 Millionen Dollar. Vorbereitet war der Angriff laut D2 Finance seit dem Morgen, mit 0,1 Ether aus dem Mixer Tornado Cash als Startkapital.

Bridges zahlen für Fehler auf der anderen Seite

Die Schwachstelle lag nach dieser Rekonstruktion nicht bei LayerZero. Die Bridge bestätigte Burns, die tatsächlich stattgefunden hatten, und der Adapter auf Ethereum kann nicht prüfen, ob die verbrannten Tokens je gedeckt waren. “On Initia, the deepest pool was the bridge”, schreibt D2 Finance. Die eigene Börse von Initia hielt rund 3,5 Millionen Dollar, über die Bridges floss in gut sieben Minuten ein Vielfaches ihres Tagesumsatzes ab.

Was mit den Guthaben auf Initia geschieht, ist offen. Setzt das Projekt die Kette vor die Prägung zurück, wie es Zano nach einem Angriff im August tat, verschwinden die Burns auf Initia, die Auszahlungen auf Ethereum aber nicht. Wer AUSD, Ether oder USDC auf Initia gebrückt hat, kann derzeit nichts bewegen.

Am Kurs von INIT lässt sich der Schaden bisher nicht ablesen: Der Token lag um 18:00 Uhr MESZ bei 0,125 Dollar und um 19:03 Uhr bei 0,149 Dollar, 17 Prozent höher als vor 24 Stunden. Quelle: CoinGecko

Die Summe wäre klein gemessen an den 766 Millionen Dollar Hack-Schaden, die PeckShield allein im September zählte. Für eine Kette, deren Bridges als Tresor dienen, zählt eher, wer die Lücke im Adapter bezahlt. Nach dem Angriff auf die rsETH-Bridge landete diese Frage zwischen KelpDAO und LayerZero vor Gericht.

Einen Zeitpunkt für den Neustart nennt Initia nicht.