Injective wurde Berichten zufolge für etwa vier Stunden pausiert, nachdem ein Angreifer eine Schwachstelle im Zusammenhang mit den Märkten für binäre Optionen ausgenutzt hatte, was zu Verlusten von rund 4,9 Millionen US-Dollar führte. Der Exploit nutzte demnach ein deaktiviertes, aber weiterhin registriertes Oracle namens Frontrunner, dessen Datenquelle schon lange geleert worden war. Der Angreifer erstellte Berichten zufolge 299 mit dem Oracle verknüpfte Märkte und löste damit einen Rückerstattungsmechanismus ohne Preis aus, als Preise nicht abgerufen werden konnten. Ein Fehler in diesem Rückerstattungsprozess ermöglichte demnach Auszahlungen in etwa der doppelten erwarteten Höhe. Die gestohlenen USDC wurden anschließend in etwa 1.980 ETH im Wert von rund 4,9 Millionen US-Dollar getauscht und an eine Ethereum-Wallet übertragen, von der keine Transaktionen gesendet wurden. Dem Bericht zufolge wurde das Defizit auf Protokollebene bereits ausgeglichen, jedoch wurden weder eine Governance-Abstimmung noch eine öffentliche Erklärung vorgelegt, sodass die Behebung nicht verifiziert ist. Der Angreifer hat die Gelder in einer einzigen Wallet konsolidiert und sie nicht bewegt, Berichten zufolge während er einen White-Hat-Vergleichsvorschlag abwägt.