MoveVM Açığı Saldırgana 2,7 Milyon Dolar Basma İmkânı Verdi, Initia L1 Ağını Durdurdu

Güncelleme 13:13 UTC: Zincir üstü analiz firması Bitquery, saldırganın MoveVM açığıyla bastığı tokenlere sembolik bir değer biçti: yaklaşık 7,48 milyon dolar.

Initia L1'i ve Tüm Rollup'ları Durdurdu

Initia, 23 Ekim Cuma günü 15:41:30 UTC'de kendi L1 blokzincirini ve ona bağlı tüm rollup'ları güvenlik olayı gerekçesiyle durdurdu. Projenin resmi X hesabından yapılan duyuruda ekibin, etkinin tam kapsamını belirlemek için güvenlik firmaları, doğrulayıcılar ve borsalarla birlikte çalıştığı bildirildi; kullanıcılara ise kesinti sırasında dolaşan resmi olmayan bağlantı ve iddialara dikkat edilmeleri uyarısı yapıldı. Zincir üstü veriler, ağın 23.365.925 numaralı blokta durduğunu ve o zamandan beri yeni bir blok üretilmediğini gösteriyor. Yaklaşık yirmi dakika sonra ortak kurucu Ezaan Mangalji, X üzerinden ilk teknik değerlendirmeyi paylaştı: Initia'nın Cosmos SDK üzerine kurduğu çalıştırma ortamındaki MoveVM'de bulunan bir 'Day 0' hata, saldırganın L1 üzerinde doğrudan ek token basmasına izin vermişti. MoveVM, Move dilinde yazılan akıllı sözleşmeleri çalıştıran sanal makine; Cosmos SDK zincirleri için az rastlanan bir tercih. Mangalji'nin 'Day 0' vurgusu, hatanın sonraki bir güncellemeyle gelmediğini, kod ilk dağıtımdan beri var olduğunu ifade ediyor. Doğrulayıcılar ağı durduramadan önce saldırgan, yaklaşık 2,7 milyon dolar değerinde AUSD, ETH ve USDC basıp köprü (bridge) aracılığıyla dışarı aktardı. Mangalji açığın nasıl işlediğini açıklamadı; nihai zarar tutarı da henüz doğrulanmadı. Initia'nın L1'i, uygulamaya özel rollup'ları arasındaki birlikte çalışabilirliği ve likiditeyi koordine ediyor; bu düzen, bir katman 3 blokzincirinin rollup üzerine nasıl yığıldığından bir adım uzak bir yapı. Ağın güvenliğini staking ile sağlayan doğrulayıcılar da soruşturmaya dahil edildi. Kullanıcı açısından etki eksiksizdi: yatırımlar, takaslar ve rollup'lar arası aktarımlar bir anda durdu. Cumartesi sabahı itibarıyla yeniden açılış saati, yayımlanmış bir hata detayı ya da iyileştirme planı yoktu.

@ItsAlwaysZonny · X gönderisi

X'te.

X'te görüntüle

@initia · X gönderisi

Durdurma duyurusu.

X'te görüntüle

2,7 Milyon Dolar Nereye Gitti

Zincir üstü kanıtlar, resmi açıklamaların boş bıraktığı kısımları dolduruyor. Bir güvenlik araştırmacısı, durdurmadan on dört dakika önce, saat 15:27 UTC'de tokenlerin sınırsız miktarda basıldığı ve yaklaşık 2,6 milyon doların çoktan nakde çevrildiği, ek transferlerin ise hâlâ yolda olduğu uyarısını paylaşmıştı. Ethereum kayıtları, 0xDD92...edFA adresli saldırgan cüzdanının daha erken saatlerde de etkin olduğunu gösteriyor: 15:03 UTC'de bu adres 1,4 milyon AUSD'yi tek bir işlemde 1inch agregatöründen geçirdi; işlem karması 0xeb5e85e76f00a7a84dfe4d2d6aab146a769785b3d80307c67dde14c79f36c5ae. Zincir durduktan beş saniye sonra, 15:41:35 UTC'de aynı adres 1.135,5 ETH'yi taze bir Ethereum adresi olan 0x358e...CAC8'e taşıdı. Transfer Ethereum üzerinde gerçekleştiği için Initia'nın kararı bu hareketi engelleyemedi. Cumartesi sabahı itibarıyla yeni adres 1.135,5 ETH'nin tamamını tutmaya devam ediyor, dışa doğru bir hareket görünmüyor; ETH 2.381 dolara yakın fiyatlanırken bu pozisyonun değeri yaklaşık 2,7 milyon dolar ve Mangalji'nin verdiği rakamla uyumlu. AUSD'nin ihraççısı Agora bir gece içinde iki kez açıklama yaptı: şirketin Initia üzerinde dağıtılmış akıllı sözleşmesi yok, orada hiçbir AUSD bulunmuyor; diğer ağlardaki dağıtımlar tam karşılanmış durumda ve normal işliyor, güvenlik ekibi ise tokenin dağıtıldığı zincirlerde saldırgan adreslerin elindeki AUSD'yi donduracak. Borsalar hızlı davrandı. Upbit, güvenlik olayı belirtilerine atıf yaparak 15:57 UTC'de INIT yatırma ve çekme işlemlerini askıya aldı ve ardından müşterilerini oynaklığın genişleyebileceği yönünde uyardı; Bithumb da aynı adımı attı. İşlemler ise devam etti: INIT 24 saatte 0,114 dolar ile 0,156 dolar arasında salındı, erken Cumartesi saatlerinde 0,138 dolara yakın fiyatlanıyordu. Seans içinde yüzde 12,5 yükseldikten sonra yüzde 4,6 primle işlem gören tokenin piyasa değeri 29,2 milyon doların biraz altındaydı. Fiyat, Mayıs 2025'teki 1,42 dolarlık zirvenin hâlâ yaklaşık yüzde 90 altında; token açık biçimde ayı piyasası bölgesinde seyrediyor.

Akraın gidişatına dair ayrıntı da ortaya çıktı. Durdurmadan on dört dakika önce saldırıyı ilk fark eden güvenlik araştırmacısı Spreek, zincir durdurulmadan önce tamamen teminatsız biçimde 2 milyon AUSD basıldığını tahmin ediyor. Saldırgan ardından yaklaşık 1,4 milyon AUSD, 105 ETH ve 1,08 milyon USDC'yi zincirler arası bir köprü üzerinden Ethereum'a taşıdı; D2 Finance ise çıkışın Ethereum üzerinde LayerZero'nun adaptöründen geçtiğini izledi ve boşaltılan toplamı yaklaşık 2,7 milyon dolar olarak değerlendirdi. Firmanın okuması Mangalji'nin tahminiyle örtüşüyor; bir yandan da zaten tespit edilmiş olan 1.135,5 ETH'nin üzerine ayrı bir 105 ETH ayağını doğruluyor. Yeni raporlamadaki fiyat verileri INIT'in 24 saatte yüzde 12,5, son 30 günde ise yüzde 65,8 yükseldiğini gösteriyor; Kore borsalarındaki yatırma ve çekme askıları, Initia zararın boyutunu ve yeniden açılış takvimini doğrulayana kadar yürürlükte kalacak.

D2 Finance'in işlem dökümü, çıkış mekanizmasına ayrıntı kazandırdı. Doğu saatiyle 10:59'da tek bir işlem Initia üzerinde 2 milyon AUSD bastı; sonrasında teminatsız tokenler yakıldı ve LayerZero üzerinden Ethereum'a itildi. Orada OFT adaptörleri, yani Initia'nın köprülenmiş sürümlerinin arkasındaki gerçek tokenleri tutan kilitleme sözleşmeleri, ödemeyi yaptı. Firmanın notu net: 'Bir OFT adaptörü, yakılan tokenlerin hiçbir zaman teminatlı olup olmadığını denetleyemez.' Saldırgan 1,4 milyon AUSD çekti; bu, AUSD adaptörünün varlıklarının yüzde 71'i ve geride yaklaşık 576 bin AUSD bıraktı. Ayrıca 105 ETH aldı; bu miktar yerel ETH adaptörünün yüzde 96'sı. 1,08 milyon USDC ise Circle'ın CCTP'si üzerinden yeni ihraç olarak geldi. D2'nin hesabına göre 2,65 milyon dolar, basım işleminin üzerinden yalnızca yedi dakika 21 saniye geçmişken Ethereum'a ulaşmıştı. Zincir üstü kayıtlar, 1,4 milyon AUSD'nin 1inch işleminden önce saldırganın adresinde yaklaşık 84 saniye beklediğini; Agora'nın dondurma kararının ise yaklaşık 89 dakika sonra, adresin artık hiç AUSD tutmadığı bir anda geldiğini gösteriyor.

Zincir üstü analiz firması Bitquery, saldırganın MoveVM açığıyla bastığı tokenlere nominal değer biçti: yaklaşık 7,48 milyon dolar. Bu rakam, firmanın köprü rezervlerinden çekilen gerçek ödemeyi izlediği yaklaşık 2,73 milyon dolardan ayrı; yeni basılan tokenler yalnızca köprünün elindeki karşılıkla itfa edilebildiği için iki tutar birbirinden farklı. Çalınan varlıklar Ethereum'daki 1.135,5 ETH'lik pozisyonda birleştirildi; erken Cumartesi itibarıyla bu pozisyondan dışa doğru bir hareket kaydedilmedi. Bitquery'nin defteri ayrıca AUSD'ye bağlı köprü rezervlerinden yapılan ödemeleri belgeliyor; bu çerçeve, Agora'nın Initia üzerinde hiçbir AUSD tokeni bulunmadığı ya da ihraç edilmediği yönündeki açıklamasıyla yan yana duruyor. Her iki tanımın kapsadığı alanın kamuya açık bilgide netleşmediği görülüyor. Ortak kurucunun Day 0 hatanın INIT'e dokunmadığı yönündeki önceki değerlendirmesi, şimdiye dek yayımlanan tek teknik hesap.

İzler Ne Soruyu Açık Bırakıyor

Zincir üstü kayıt ile ekibin açıklamaları bir araya geldiğinde, alışılmadık ölçüde temiz bir iz ortaya çıkıyor. Basım işleminin karması ve ardından gelen transferler kamuya açık ve doğrulanabilir durumda; taze bir adreste bekleyen 1.135,5 ETH, en net geri kazanım hedefi. Agora'nın dondurma kararı, AUSD'nin dağıtıldığı zincirlerde tokenin bir bölümünü geri alabilir; ETH ve USDC ayakları içinse karşılaştırılabilir bir çare yok. Asıl soru açığın kendisi: olay sonrası inceleme raporu yok, kök neden açıklaması yok, yeniden açılış tarihi yok. Initia doğrulanmış bir iyileştirme planı yayımlayana dek ağdaki her rollup donmuş kalacak; Cosmos SDK zinciri üzerinde çalışan bir MoveVM'deki Day 0 hata ise bu hafta sonu Move tabanlı diğer ekiplerin denetleyeceği ayrıntı olarak öne çıkıyor.