Initia stoppt L1 und Rollups: Angreifer prägt Token ohne Obergrenze und zieht 2,7 Millionen Dollar ab

Die Blockchain von Initia steht. Am 23. Oktober 2026 um 15:41:30 UTC hat das Projekt seine Layer-1-Blockchain und die darauf aufsetzenden Rollups angehalten, nachdem ein Angreifer über eine Lücke im Prägemechanismus Token ohne Obergrenze erzeugen konnte. Nach Angaben von Mitgründer Ezaan Mangalji zog der Angreifer Werte von rund 2,7 Millionen US-Dollar in den Stablecoins AUSD und USDC sowie in Ether ab, bevor die Blockchain gestoppt wurde. Für dich als Anleger heißt das zunächst sehr konkret: Guthaben, die auf dieser Blockchain liegen, lassen sich nicht bewegen, solange sie steht. Guthaben, die auf einer Börse liegen, sind davon zunächst nicht betroffen, weil Börsen intern abrechnen.

Was am 23. Oktober 2026 auf der Initia-Blockchain geschah

Das offizielle Konto von Initia auf der Plattform X teilte den Stopp mit dem genauen Zeitpunkt mit. Bitcoin.com News zitiert die Mitteilung mit dem Wortlaut, dass die Initia-L1 und die Rollups wegen eines Sicherheitsvorfalls angehalten worden seien. Die Blockchain blieb zum Redaktionsschluss der Quelle bei der Blockhöhe 23365925 stehen. Einen Zeitpunkt für die Wiederaufnahme des normalen Betriebs hatten die Entwickler zu diesem Zeitpunkt nicht genannt, und eine Gesamtsumme des Schadens hatte das Projekt offiziell nicht bestätigt.

Aufgefallen ist der Vorgang zuerst außerhalb des Projekts. Der Blockchain-Sicherheitsforscher Spreek beschrieb die auffälligen Prägungen öffentlich, bevor eine Stellungnahme des Projekts vorlag. Die Prägevorgänge selbst waren über den offiziellen Block-Explorer von Initia nachvollziehbar, also in den öffentlichen Daten der Blockchain sichtbar. Das ist typisch für diese Art von Vorfall: Die Buchungen stehen offen einsehbar in den Blöcken, nur ihre Ursache ist zunächst unklar.

Infinite Mint bedeutet: Token entstehen ohne Deckung

Ein Infinite Mint ist ein Fehler, der es erlaubt, neue Token zu erzeugen, ohne dass dafür eine Einzahlung, eine Sicherheit oder eine Obergrenze nötig wäre. Prägen, auf Englisch minting, ist der normale Vorgang, bei dem ein Protokoll neue Einheiten eines Tokens in Umlauf bringt. Normalerweise ist dieser Vorgang streng begrenzt, etwa auf die Menge, die jemand vorher hinterlegt hat. Fällt diese Begrenzung durch einen Programmierfehler weg, kann ein Angreifer sich selbst beliebig viele Einheiten zuschreiben.

Der wirtschaftliche Schaden entsteht dabei nicht in dem Moment der Prägung. Token ohne Deckung sind zunächst nur Zahlen in einer Datenbank. Gefährlich wird es im zweiten Schritt, wenn diese Zahlen gegen etwas getauscht werden, das tatsächlich einen Wert hat. Genau an dieser Stelle lag im Fall Initia der Verlust: Die frisch geprägten Einheiten wurden über eine Brücke zu anderen Blockchains geschickt und dort gegen echte Vermögenswerte eingelöst. Eine Brücke, meist Bridge genannt, ist ein Dienst, der Token von einer Blockchain auf eine andere überträgt und dabei prüfen soll, ob die Gegenseite gedeckt ist.

Dieser zweistufige Ablauf erklärt, warum die Zahl der geprägten Token und die Zahl des tatsächlichen Verlusts weit auseinanderliegen können. Der Netzwerkstopp als Notbremse ist dabei kein Einzelfall: Bei Maya Protocol lief es nach einem Exploit vergleichbar ab, und auch dort stand am Anfang eine Prägung, die so nicht vorgesehen war.

Die MoveVM auf dem Cosmos SDK ist der benannte Schwachpunkt

Mitgründer Ezaan Mangalji ordnete die Ursache nach eigener Darstellung technisch ein. Bitcoin.com News zitiert ihn mit der Aussage, dies sei ein Day-0-Bug im Zusammenhang mit der MoveVM von Initia auf dem Cosmos SDK, wobei er diese Einordnung ausdrücklich auf den Kenntnisstand von damals beschränkte. Ein Day-0-Bug bezeichnet einen Fehler, der von Anfang an im Code steckte und bis zum Vorfall unbemerkt blieb, also keine Folge einer späteren Änderung ist.

Zur Einordnung der Begriffe: Das Cosmos SDK ist ein Baukasten, mit dem eigenständige Blockchains entstehen. Die MoveVM ist eine Ausführungsumgebung für Programme auf der Blockchain, die aus der Programmiersprache Move stammt und als besonders streng im Umgang mit Vermögenswerten gilt. Initia verbindet beides und betreibt zusätzlich sogenannte Rollups, also eigene Ausführungsebenen, die ihre Ergebnisse bei der Hauptblockchain abliefern. Nach Angaben des Projekts unterstützen diese Rollups sowohl die MoveVM als auch die aus Ethereum bekannte EVM.

Wichtig für die Einordnung ist, was Mangalji ausdrücklich ausnahm: Der Fehler betreffe die nativen INIT-Token nicht. Das ist keine Nebenbemerkung, sondern der Grund, warum der Vorfall den Kurs des Projekt-Tokens anders traf als bei vergleichbaren Fällen. Belegt ist diese Abgrenzung durch die Aussage des Mitgründers, nicht durch eine unabhängige Prüfung; ein Nachbericht des Projekts mit einer vollständigen Fehleranalyse lag zum Zeitpunkt dieses Artikels nicht vor.

2,6 bis 2,7 Millionen Dollar: Warum die Summen auseinandergehen

Zum Schaden liegen unterschiedliche Angaben vor, und sie sollten nicht zu einer runden Zahl verschmolzen werden. Mangalji nennt rund 2,7 Millionen US-Dollar, die der Angreifer in AUSD, Ether und USDC prägen und über die Brücke abziehen konnte, bevor die Blockchain pausiert wurde. Crypto Briefing berichtet von rund 2,6 Millionen US-Dollar, die der Angreifer umgewandelt habe, und weist darauf hin, dass weitere Mittel noch in Bewegung waren. Die Hack-Liste von DefiLlama führt den Vorfall mit 2,6 Millionen US-Dollar, mit der Einordnung als Fehler in der Token-Buchhaltung und der Technik Infinite Mint.

Noch deutlich höher liegt eine dritte Zahl, die sich auf die nominal geprägte Menge bezieht. Eine Auswertung des Analysehauses Bitquery, die The Block zitiert, kommt auf rund 7,48 Millionen US-Dollar nominal erzeugter Token. Der größere Teil davon sei jedoch synthetisches iUSD gewesen, das sich nicht zum Nennwert einlösen ließ. Synthetisch heißt: Der Token bildet einen Wert nur rechnerisch nach, ohne dass eine Rücknahme zu diesem Wert garantiert ist. Wer die Zahlen vergleicht, muss deshalb sauber trennen, was geprägt wurde und was sich davon in echtes Geld verwandeln ließ. The Block sperrt automatisierte Abrufe; der Inhalt wurde über eine Suchrecherche bestätigt.

Agora erklärt AUSD und das eigene Geschäft für nicht betroffen

Eine der betroffenen Token-Bezeichnungen gehört zu einem fremden Emittenten, und der hat deutlich widersprochen. Agora, das Haus hinter dem Stablecoin AUSD, teilte laut Bitcoin.com News mit, es habe keine Smart Contracts auf Initia im Einsatz. AUSD und Agora seien nicht betroffen, AUSD existiere auf Initia nicht. Zugleich kündigte Agora an, Guthaben einzufrieren, die mit den Adressen des Angreifers verbunden sind, soweit sie auf Blockchains liegen, auf denen Agora eigene Verträge betreibt.

Dieser scheinbare Widerspruch zu Mangaljis Aufzählung ist auflösbar und für das Verständnis wichtig: Was auf Initia unter dem Namen AUSD geführt wurde, war aus Sicht des Emittenten kein von ihm herausgegebener Token, sondern eine Abbildung auf einer fremden Blockchain. Für dich heißt das praktisch: Ein bekannter Name auf einer Blockchain garantiert nicht, dass der Emittent dieses Namens dort auch tatsächlich tätig ist und für die Deckung einsteht. Diese Frage lässt sich vor dem Kauf klären, indem man prüft, welche Verträge ein Emittent offiziell als die eigenen benennt.

Upbit sperrt Ein- und Auszahlungen für INIT

Börsen reagieren auf einen Netzwerkstopp mit einer eigenen Schutzmaßnahme. Die südkoreanische Börse Upbit setzte Ein- und Auszahlungen für INIT aus. Das ist technisch zwingend: Solange eine Blockchain keine neuen Blöcke bestätigt, kann eine Börse weder eine eingehende Überweisung verlässlich gutschreiben noch eine ausgehende durchführen. Eine Sperre schützt in dieser Lage beide Seiten vor Buchungen, die später nicht zugeordnet werden können.

Für dich ergibt sich daraus eine klare Unterscheidung, die in solchen Lagen oft untergeht. Der Handel auf einer Börse läuft über deren internes Buch und braucht die Blockchain nicht. Ein- und Auszahlungen brauchen sie zwingend. Wer INIT auf einer Börse hält, kann also unter Umständen weiter handeln, aber nicht abheben. Wer die Token selbst verwahrt, hat die vollständige Kontrolle über die Schlüssel und trotzdem keinen Zugriff, solange die Blockchain steht. Welche Börsen in Deutschland reguliert zugänglich sind und wie sie sich bei Störungen verhalten, haben wir im Vergleich der Krypto-Börsen aufgeschlüsselt.

Der INIT-Kurs steigt, während die Blockchain stillsteht

Der Kursverlauf widerspricht der ersten Erwartung. Laut CoinGecko stand INIT am 24. Oktober 2026 bei 0,152482 US-Dollar beziehungsweise 0,136096 Euro und damit 14,43 Prozent höher als 24 Stunden zuvor. Auf Wochensicht liegt der Token 22,31 Prozent im Plus, über 30 Tage 68,37 Prozent. Innerhalb des Tages reichte die Spanne von 0,114082 US-Dollar im Tief bis 0,156281 US-Dollar im Hoch. Die Marktkapitalisierung beträgt rund 32,16 Millionen US-Dollar, womit INIT auf Rang 618 liegt. Im Umlauf sind 210.794.785 von insgesamt einer Milliarde Token. Vom Höchststand bei 1,42 US-Dollar vom 13. Mai 2025 ist der Kurs 89,29 Prozent entfernt.

Zwei Gründe tragen diese Bewegung. Erstens war der Projekt-Token nach Darstellung des Mitgründers selbst nicht prägbar, der Verlust fiel also bei fremden Token an, die auf Initia abgebildet waren. Zweitens fand der Handel weiter auf Börsen statt, wo die Blockchain für den Preis keine Rolle spielt. Daraus lässt sich allerdings keine Entwarnung ableiten: Der Kurs bewertet in dieser Phase vor allem die Erwartung, dass der Neustart gelingt. Scheitert er oder dauert er lang, ändert sich diese Grundlage. Die beiden Tagesmarken bei 0,114082 und 0,156281 US-Dollar sind dabei die Punkte, an denen sich diese Erwartung zuletzt gedreht hat.

Audits und Geldgeber sind kein Schutzversprechen

Initia ging 2025 mit seinem Hauptnetz an den Start, das Gesamtangebot liegt bei einer Milliarde INIT. Nach Angaben von Crypto Briefing sammelte das Projekt rund 24 Millionen US-Dollar von Investoren ein, darunter Binance Labs und Delphi Digital, und durchlief mehrere Sicherheitsprüfungen. Eine frühere Fehlkonfiguration bei den Staking-Belohnungen für INIT war nach dieser Darstellung kein Exploit und wurde 2025 über die Governance des Projekts bereinigt.

Diese Vorgeschichte ist kein Nebenschauplatz, sondern die eigentliche Lehre für die Auswahl von Projekten. Mehrere bestandene Audits und bekannte Geldgeber haben einen Fehler nicht verhindert, der nach Darstellung des Mitgründers von Beginn an im Code steckte. Ein Audit prüft einen bestimmten Stand des Codes gegen bekannte Fehlermuster, und eine neue Kombination aus zwei Bausteinen, hier eine Move-Umgebung auf einem Cosmos-Baukasten, bringt Fehlermuster hervor, die in dieser Form noch niemand gesucht hat. Wer Geld auf junge Blockchains legt, sollte Audits deshalb als Hinweis auf Sorgfalt lesen und nicht als Garantie.

Haltefrist und Steuer: Ein Netzwerkstopp ist kein Verkauf

Steuerlich ändert ein angehaltenes Netzwerk an deiner Lage zunächst nichts. In Deutschland gelten Gewinne aus dem Verkauf oder Tausch von Kryptowerten als privates Veräußerungsgeschäft nach Paragraf 23 des Einkommensteuergesetzes. Entscheidend ist dort ein Vorgang, bei dem du etwas hergibst und etwas anderes erhältst. Ein Netzwerkstopp ist weder ein Verkauf noch ein Tausch: Dir wird nichts abgenommen, es ist nur nicht bewegbar. Die einjährige Haltefrist läuft in dieser Zeit normal weiter, und ein Verlust entsteht steuerlich erst durch einen tatsächlichen Verkauf, nicht schon dann, wenn ein Kurs fällt oder ein Zugriff ausfällt.

Praktisch heißt das: Wer kurz vor dem Ablauf der Jahresfrist steht, verliert durch den Stillstand nichts an Wartezeit. Wer dagegen erwägt, nach einem Neustart zu verkaufen, sollte das Anschaffungsdatum und die Frist kennen, bevor er handelt. Für die Dokumentation solcher Fälle, bei denen Gutschriften ausfallen und Bestände über mehrere Plattformen verteilt liegen, sind saubere Aufzeichnungen entscheidend: Anschaffungsdatum, Menge und Lagerort gehören je Position festgehalten. Dieser Artikel ersetzt keine steuerliche Beratung, und bei größeren Beträgen lohnt die Rückfrage in einer Kanzlei.

Verwahrung im Ernstfall: Wo deine Token tatsächlich liegen

Dieser Vorfall trennt zwei Risiken, die oft in einen Topf geworfen werden. Das erste Risiko ist der Verlust der Schlüssel, etwa durch Phishing oder eine kompromittierte Wallet. Dagegen hilft eine Hardware-Wallet, weil der Schlüssel das Gerät nicht verlässt; die Unterschiede zwischen den Geräten haben wir im Hardware-Wallet-Vergleich nebeneinandergestellt. Das zweite Risiko ist ein Fehler im Protokoll selbst. Dagegen schützt keine Wallet, denn der Fehler liegt nicht bei dir, sondern in der Blockchain, auf der dein Guthaben verbucht ist. Beide Risiken brauchen unterschiedliche Antworten.

Für das zweite Risiko hilft vor allem Aufteilung. Wer sein Vermögen auf mehrere Blockchains und mehrere Verwahrorte verteilt, verliert bei einem Stillstand den Zugriff auf einen Teil und nicht auf alles. Dazu gehört auch, bewusst zu entscheiden, wie viel auf jungen Blockchains mit kurzer Betriebsgeschichte liegt. Ein weiterer Punkt betrifft abgebildete Token: Liegt auf einer kleinen Blockchain eine Version eines bekannten Stablecoins, ist zu klären, wer sie herausgibt und wer im Störungsfall für die Deckung einsteht. Die Antwort von Agora in diesem Fall zeigt, dass diese Frage nicht theoretisch ist.

Wie es bei Initia weitergeht und woran du den Fortschritt erkennst

Ein Neustart nach einem solchen Vorfall verlangt mehr als einen Neustart der Server. Die Betreiber der Validatoren, also der Rechner, die Blöcke bestätigen, müssen sich auf eine korrigierte Fassung der Software verständigen und auf den Zustand, von dem aus weitergearbeitet wird. Erst danach lässt sich beurteilen, welche Buchungen Bestand haben. Zum Zeitpunkt dieses Artikels hat Initia dafür keinen Termin genannt und den Gesamtschaden nicht abschließend bestätigt.

Drei Angaben zeigen dir den Fortschritt verlässlicher als jede Ankündigung. Die erste ist die Blockhöhe: Steigt sie über den Stand von 23365925 hinaus, bestätigt die Blockchain wieder Blöcke. Die zweite sind die Statusseiten der Börsen: Hebt eine Börse die Sperre für Ein- und Auszahlungen auf, traut sie den Bestätigungen wieder. Die dritte ist ein veröffentlichter Nachbericht mit einer Fehleranalyse, der benennt, was der Fehler war und wie er behoben wurde. Fehlt dieser Bericht dauerhaft, ist das selbst eine Information. Bis dahin gilt für neue Einzahlungen auf diese Blockchain dieselbe Vorsicht wie bei einem Token, der vom Handel genommen wurde: abwarten, bis der Weg hinaus nachweislich wieder offen ist.

Initia-Netzwerkstopp: Ohne Neustart bleibt jedes Guthaben unbeweglich

Der Stand zum 24. Oktober 2026: Die Blockchain steht seit dem 23. Oktober, 15:41:30 UTC, bei Blockhöhe 23365925. Abgezogen wurden nach den vorliegenden Angaben 2,6 bis 2,7 Millionen US-Dollar. Daraus ergeben sich drei Schritte.

1. Bestand und Lagerort feststellen. Kläre, ob deine Token auf der Initia-Blockchain selbst oder auf einer Börse liegen. Auf einer Börse ist Handel oft weiter möglich, Abheben nicht. Welche Handelsplätze für Anleger in Deutschland in Frage kommen, zeigt der Vergleich der Krypto-Börsen.
2. Verwahrung und Aufteilung überprüfen. Trenne das Schlüsselrisiko vom Protokollrisiko und verteile Bestände auf mehrere Blockchains und Verwahrorte. Für die Geräteseite hilft der Hardware-Wallet-Vergleich.
3. Fristen und Unterlagen sichern. Halte Anschaffungsdaten fest, denn die Haltefrist läuft weiter und ein Stillstand ist kein Verkauf. Werkzeuge dafür stehen im Vergleich der Steuer-Tools und Portfolio-Tracker.

(Stand: 24. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)

Quellen: Bitcoin.com News zum Netzwerkstopp und den Stellungnahmen und Crypto Briefing zum Ablauf des Vorfalls.