Initia 公布安全事件细节：MoveVM 脚本缓存漏洞致约 270 万美元损失
TREE NEWS 报道， Initia 公布了 10 月 23 日安全事件的调查细节，确认攻击者利用了其 MoveVM 脚本缓存漏洞，绕过安全检查，通过伪造状态为自身虚增了未受储备支持的 WETH、iUSD 和 USD 资产，并从中盗取约 270 万美元。该事件再次将模块化区块链与定制虚拟机实现的安全边界推上风口浪尖。
攻击路径还原
调查显示，漏洞存在于 Initia 的 MoveVM 脚本缓存机制中。攻击者通过操纵缓存脚本状态，绕过了原本用于确保铸造资产足额抵押的校验层。系统将伪造的余额视为合法状态，攻击者借此从流动性池和跨链桥合约中抽走价值。这是一种典型的“伪造状态”攻击：协议的安全不变量在缓存优化层被打破。
Initia 定位为基于 MoveVM 的互织 Rollup 生态，此次事件令外界关注其性能优化与核心安全机制之间的交互方式。对于任何对执行环境进行分叉或定制的链而言，审计边界都会随之扩大，原本用于提升性能的缓存设计可能演变为共识级漏洞。
行业影响
本次事件凸显当前 DeFi 领域的三大结构性风险：
- 虚拟机层复杂性：随着链对执行环境进行定制，审计范围扩大，性能优化可能转化为系统性漏洞。
- 跨资产抵押污染：铸造无储备支持的 WETH 与稳定币类资产，会侵蚀跨链桥与借贷市场的信任基础，未受支持的资产可能污染相连 Rollup 的流动性池。
- 事件响应速度：损失被控制在约 270 万美元而非全协议被抽干，反映监控与暂停机制趋于成熟，但也引发此类控制权是否应去中心化的讨论。
后续展望
Initia 的披露预计将推动对虚拟机层代码的形式化验证需求，以及能够在价值流出前识别状态异常的实时不变量监控。对更广泛的模块化生态而言，这一事件提醒人们：互操作性既放大效用，也放大传染风险——一个执行层的缺陷可能通过共享流动性扩散。
投资者与开发者应关注后续修复方案，包括脚本缓存设计是否重构、受影响用户是否获赔。该事件也可能强化保险式覆盖与针对定制虚拟机修改的更严格审计标准的必要性——这仍是行业投入不足的领域。
