Команда Initia сообщила, что причиной инцидента 23 октября стала ошибка кэширования скриптов в MoveVM. Она позволяла обойти проверки и подменять состояние виртуальной машины, создавая необеспеченные балансы WETH, iUSD и USDC. При этом общий выпуск соответствующих токенов не менялся, а INIT, по данным проекта, не затронут.

До остановки основной сети и роллапов злоумышленник успел вывести активы примерно на $2,7 млн. Initia перечисляет 105 WETH и около 1,4 млн AUSD0, отправленных через LayerZero, а также примерно 1,08 млн USDC — через Noble и CCTP. Затем средства обменяли на 1 135,52 ETH и перевели на этот адрес в Ethereum.

Новый отчёт уточняет первоначальную версию о «несанкционированном выпуске»: уязвимость меняла учтённые MoveVM балансы, но не показатели общего предложения. Связь упомянутого AUSD0 с прежним заявлением Agora о том, что на Initia не было контрактов AUSD, пока не разъяснена.

L1 и роллапы Initia остаются остановленными. Команда ожидает завершить исправление и аудит в течение нескольких дней, параллельно пытаясь вернуть активы с привлечением специалистов по безопасности. Срок возобновления работы не назван; полный разбор обещан после безопасного перезапуска.