MoveVM Açığı Saldırgana 2,7 Milyon Dolar Basma İmkânı Verdi, Initia L1 Ağını Durdurdu

Initia L1 Ağını ve Tüm Rollup'ları Dondurdu

Initia, güvenlik olayı olarak nitelendirdiği bir gelişmenin ardından 23 Ekim Cuma günü saat 15:41:30 UTC'de L1 blok zincirini ve ona bağlı tüm rollup'ları durdurdu. Projenin resmi X hesabından yapılan durdurma duyurusunda, ekibin etkinin tam boyutunu belirlemek için güvenlik firmaları, doğrulayıcılar (validator) ve borsalarla birlikte çalıştığı belirtildi ve kullanıcılar, kesinti sırasında dolaşıma giren gayri resmi bağlantılara ve iddialara karşı uyarıldı. Zincir üstü veriler, ağın 23.365.925 blok yüksekliğinde durduğunu ve o noktadan sonra yeni bir blok üretilmediğini gösteriyor. Yaklaşık yirmi dakika sonra ortak kurucu Ezaan Mangalji, X üzerinde ilk teknik değerlendirmeyi paylaştı: Initia'nın Cosmos SDK üzerinde çalıştırdığı MoveVM yürütme ortamındaki bir "Day 0" hatası, saldırganın doğrudan L1 üzerinde ek token basmasına imkân vermişti. MoveVM, Move dilinde yazılan akıllı sözleşmeleri (smart contract) çalıştıran sanal makine; bir Cosmos SDK zinciri için az rastlanan bir tercih. Mangalji'nin "Day 0" nitelemesi ise kusurun sonradan gelen bir güncellemeyle değil, kodun ilk dağıtımından itibaren var olduğunu anlamına geliyor. Yerli INIT token'ının etkilenmediğini vurguladı. Doğrulayıcılar zinciri durdurmadan önce saldırgan, yaklaşık 2,7 milyon dolar değerinde AUSD, ETH ve USDC basıp köprü üzerinden dışarı aktardı. Mangalji açığın nasıl çalıştığını açıklamadı ve nihai zarar rakamı henüz doğrulanmadı. Initia'nın L1'i, uygulamaya özel rollup'ları arasındaki birlikte çalışabilirliği ve likiditeyi koordine ediyor; bu yapı, bir katman 3 blok zincirinin bir rollup'ın üzerine nasıl kuruluyorsa ona yakın bir düzen. Staking yoluyla ağı güvence altına alan doğrulayıcılar da soruşturmaya dahil edildi. Kullanıcılar için etki eksiksizdi: mevduat, takas işlemleri ve rollup'lar arası transferler tek anda durdu. Cumartesi sabahı itibarıyla yeniden başlama saati yoktu, açığa dair ayrıntı paylaşılmamıştı ve bir iyileştirme planı yayımlanmamıştı.

@initia · X gönderisi

Durdurma duyurusunda.

X'te görüntüle

2,7 Milyon Dolar Nereye Gitti

Zincir üstü kanıtlar, resmi açıklamaların boş bıraktığı kısımları dolduruyor. Bir güvenlik araştırmacısı, durdurmadan on dört dakika önce, saat 15:27 UTC'de bir uyarı paylaştı: token'ların sınırsız miktarda basıldığını ve yaklaşık 2,6 milyon doların çoktan nakde çevrildiğini, daha fazla aktarımın ise yolda olduğunu bildirdi. Ethereum kayıtları, saldırgan adresi 0xDD92...edFA'nın daha da erken aktif olduğunu gösteriyor: saat 15:03 UTC'de bu adres, 0xeb5e85e76f00a7a84dfe4d2d6aab146a769785b3d80307c67dde14c79f36c5ae işlem karmasıyla tek bir işlemde 1,4 milyon AUSD'yi 1inch toplayıcısı üzerinden yönlendirdi. Zincir durduktan beş saniye sonra, 15:41:35 UTC'de, aynı adres 1.135,5 ETH'yi taze bir Ethereum adresine, 0x358e...CAC8'e taşıdı. Bu aktarım Ethereum üzerinde gerçekleştiği için durdurma işlemi ona dokunamadı. Cumartesi sabahı itibarıyla yeni adres, gelen hareket olmaksızın 1.135,5 ETH'nin tamamını tutuyordu; ETH'nin 2.381 dolar civarında seyrettiği göz önünde bulundurulduğunda bu tutar kabaca 2,7 milyon dolara denk geliyor ve Mangalji'nin tahminiyle uyumlu. AUSD'nin ihraççısı Agora, gece boyunca iki kez açıklama yaptı. Şirketin Initia üzerinde dağıtılmış akıllı sözleşmesi bulunmuyor ve orada hiçbir AUSD bulunmuyor; diğer ağlardaki dağıtımlar tamamen teminatlı ve normal şekilde çalışıyor, güvenlik ekibi de token'ın yayında olduğu zincirlerde saldırgan adreslerinin elindeki AUSD'yi donduracak. Borsalar hızlı davrandı. Upbit, güvenlik olayı belirtilerine atıfta bulunarak saat 15:57 UTC'de INIT yatırma ve çekme işlemlerini askıya aldı ve daha sonra müşterilerini oynaklığın genişleyebileceği konusunda uyardı; Bithumb da aynı adımı attı. İşlemler devam etti ve INIT, 24 saat içinde 0,114 ile 0,156 dolar arasında salınım yaptı; erken Cumartesi verileri fiyatın 0,138 dolar civarında, seans içinde önceki yüzde 12,5'lik artışın ardından yüzde 4,6 primle işlem gördüğünü, piyasa değerinin ise 29,2 milyon dolar dolayında olduğunu gösteriyor. Token, Mayıs 2025'teki 1,42 dolarlık zirvesinin hâlâ yaklaşık yüzde 90 altında işlem görüyor; bu, altcoin tarafında derin bir ayı piyasasında bulunulduğunun net göstergesi.

Belge İzi Neyi Açık Bırakıyor

Zincir üstü kayıt ile ekibin açıklamaları bir araya geldiğünde ortada alışılmadık derecede temiz bir belge izi var. Basma işleminin karması ve sonraki transferler kamuya açık ve doğrulanabilir durumda; taze bir adreste bekleyen 1.135,5 ETH, en net kurtarma hedefi olarak öne çıkıyor. Agora'nın dondurma kararı, AUSD'nin yayında olduğu zincirlerde paranın bir kısmını geri kazanmayı sağlayabilir; buna karşılık ETH ve USDC bacakları için karşılaştırılabilir bir çare yok. Asıl belirsizlik, açığın kendisi. Olay sonrası raporu yok, kök neden açıklaması yok, yeniden başlama tarihi yok. Initia doğrulanmış bir iyileştirme planı yayımlayana kadar ağdaki her rollup donmuş kalacak; Cosmos SDK üzerine kurulu bir zincirde MoveVM içindeki bir Day 0 kusuru ise bu hafta sonu Move tabanlı diğer ekiplerin denetim listesinin en üstüne yerleşecek.