Взлом Initia: как вывели $2,6 млн и что известно сейчас

23 октября 2026 года блокчейн Initia и все его роллапы остановлены после взлома: злоумышленник, по данным исследователя Spreek, получил возможность выпускать токены без ограничений и обменял их на реальные активы. По оценке Spreek, выведено около $2,6 млн, и почти всё это сейчас лежит одним куском — 1 135,5 ETH на одном адресе в сети Ethereum. Проект сумму ущерба пока не подтвердил.

Что известно сейчас

• Initia L1 и роллапы приостановлены, переводы и торговля внутри сети не идут. Проект вместе с охранными фирмами, валидаторами и биржами выясняет масштаб инцидента (PANews).
• Оценка вывода — около $2,6 млн (Spreek, через The Block). Официальной цифры и разбора уязвимости нет.
• Выведенные средства — 1 135,5 ETH (около $2,7 млн) на адресе 0x358eF0…CAC8. На 20:20 МСК они оттуда не двигались.
• Upbit и Bithumb приостановили ввод и вывод INIT и выпустили предупреждение для инвесторов (PANews).
• Срок возобновления сети не назван.

Как это произошло

Spreek назвал атаку «infinimint»: злоумышленник получил право выпускать токены в сети Initia без лимита, а затем обменял их на активы, у которых есть реальная цена (Crypto Briefing). Какая именно ошибка это позволила, команда не сообщила.

Initia — модульный блокчейн первого уровня на Cosmos SDK, вокруг которого строятся связанные роллапы с виртуальными машинами MoveVM и EVM. Crypto Briefing отмечает, что такая архитектура даёт много мест, где задаются права на выпуск токенов и переводы между сетями, — а значит, и много возможных точек отказа.

Логика подобных атак простая: если можно «напечатать» токен, который где-то принимают как обеспечение или пару для обмена, его выпускают в огромном количестве и сразу меняют на то, что продаётся за пределами сети, — стейблкоины и ETH. Остановка всей сети нужна, чтобы закрыть дыру и не дать вывести остальное.

Хроника

23 октября, 16:14 МСК. Адрес, через который потом шли обмены (0xDD922c…edFA), начинает проводить транзакции в Ethereum — по данным обозревателя блоков Blockscout.

23 октября, 18:01⁠–⁠18:26 МСК. На этот адрес поступают 1,4 млн AUSD и около 1,08 млн USDC. Стейблкоины обмениваются на ETH через агрегаторы 1inch и 0x (Blockscout).

23 октября, 18:41 МСК. Одной транзакцией 1 135,5 ETH уходят на адрес 0x358eF0130f7A5aA516dCd81Bdc80B18CdE41CAC8. Сразу после этого вокруг кошельков появляются переводы с адресов-«двойников» с похожими первыми символами — это похоже на типичную попытку подменить адрес в истории операций (address poisoning).

23 октября, до 20:00 МСК. Spreek сообщает об атаке с неограниченным выпуском токенов и оценивает вывод в $2,6 млн, часть средств ещё в движении. Initia останавливает L1 и роллапы (Phemex News со ссылкой на The Defiant).

23 октября, 20:03 МСК. The Block публикует первое подробное сообщение. Initia заявляет, что выясняет охват инцидента вместе с охранными командами, валидаторами и биржами, и просит не доверять неофициальным ссылкам и сообщениям.

23 октября, вечер. Upbit сообщает о «подозрении на проблему безопасности в сети Initia», приостанавливает ввод и вывод INIT и предупреждает о росте волатильности; торговля и листинг не затронуты (Cryptonews). Так же поступает Bithumb (PANews).

Куда ушли деньги

На Ethereum путь пока короткий. Около $2,48 млн в стейблкоинах (1,4 млн AUSD, около 1 млн и 80 тыс. USDC) обменяны на ETH, и 1 135,5 ETH собраны на одном адресе. По данным Blockscout, к 20:20 МСК весь этот ETH оставался там же: в миксеры, мосты или на биржи средства не уходили. The Defiant подтверждает ту же схему: обмены на стейблкоины, затем перевод 1 135,5 ETH.

Сколько ещё выпущенных токенов осталось внутри сети Initia и успел ли атакующий вывести что-то через другие сети, публично не известно.

Что сделали команда и биржи

• Initia остановила L1 и все роллапы и работает с охранными фирмами, валидаторами и биржами. Проверенные данные обещает публиковать только в официальных каналах (PANews). Постмортема, предложения о вознаграждении за возврат или обращения к атакующему пока нет.
• Upbit приостановила ввод и вывод INIT и внесла токен в список предупреждений. Возобновление — после проверки безопасности транзакций, срок не назван.
• Bithumb тоже приостановила ввод и вывод INIT.
• Заявлений Binance, а также PeckShield, CertiK, Cyvers, SlowMist и ZachXBT по этому делу мы к моменту публикации не нашли.

Что это значит для держателей

Пока сеть стоит, перевести токены внутри Initia и вывести их с биржи на кошелёк нельзя: на Upbit и Bithumb ввод и вывод INIT закрыт. Торговля INIT на биржах при этом продолжается. По данным The Block, на первых сообщениях о взломе INIT упал примерно на 14%, а к концу дня вырос примерно на те же 14%.

Главные открытые вопросы: какие токены атакующий выпускал и сколько их осталось в обороте, будет ли откат состояния сети или компенсация пострадавшим пулам и как скоро сеть заработает. Crypto Briefing напоминает, что Initia запустила основную сеть в 2025 году, привлекла около $24 млн (среди инвесторов — Binance Labs и Delphi Digital) и прошла несколько аудитов; в 2025 году у сети уже была ошибка в настройке наград за стейкинг, её исправили через голосование.

В разгар таких инцидентов мошенники рассылают ссылки на «компенсацию» и «миграцию». Initia прямо просит верить только официальным каналам. Живые цены — в сводке дня, другие взломы — в обзоре третьего квартала и в хронике взлома Qubic.

Это не инвестиционный совет.

---

Статья дополняется: мы следим за развитием событий и добавляем новые данные. Последнее обновление — 23 октября 2026, 20:40 МСК.