Initia suspende L1 y Rollups tras la explotación de $2.7M en acuñación

Initia dejó de producir bloques a las 15:41:30 UTC del 23 de octubre, aproximadamente cuarenta y dos minutos después de que un atacante acuñara 2.000.000 AUSD de la nada y catorce minutos después de que el investigador pseudónimo Spreek detectara la actividad en la cadena. El primer aviso del proyecto lo llamó “un incidente de seguridad” y no mencionó ninguno de los mecanismos. Estos mecanismos se revelaron en fragmentos durante el día siguiente, y juntos describen algo más limitado que un choque de oferta y más preciso que un error común: una acuñación no autorizada que se convirtió en dinero real en el momento en que tocó un puente.

Al 23 de octubre de 2026, 15:41:30 UTC, Initia L1 y los Rollups han sido suspendidos debido a un incidente de seguridad. Nuestro equipo está investigando activamente la situación y trabajando para determinar el alcance completo de cualquier impacto con equipos de seguridad, validadores y exchanges. Compartiremos información verificada a través de nuestros canales oficiales a medida que esté disponible. Por favor, manténgase cauteloso con enlaces, mensajes o afirmaciones no oficiales que circulen durante este período.

— Initia (@initia) October 23, 2026

Initia es una cadena de bloques de capa 1 construida sobre el Cosmos SDK que aloja una red de rollups interconectados que llama Minitias. Una interrupción de la cadena base por lo tanto desconecta toda la constelación, no una sola aplicación. Lo que el primer aviso omitió, Ezaan Mangalji, cofundador, proporcionó por separado. “Hasta donde sabemos hasta ahora, se trata de un error del Día 0 relacionado con el MoveVM de Initia en CosmosSDK que permitió al explotador acuñar tokens adicionales en la Initia L1, pero no se aplica a los tokens INIT nativos,” escribió, añadiendo que el atacante “pudo acuñar y transferir fuera ~$2.7 millones en AUSD, ETH y USDC antes de que se pausara la cadena.” La cualificación inicial es determinante. Initia no ha publicado un post-mortem, y su cuenta oficial no ha confirmado una cifra final de pérdidas.

MoveVM es la máquina virtual que ejecuta contratos inteligentes en Initia. Un error de día 0 es aquel que se incluyó en la implementación original, y el diagnóstico preliminar del cofundador lo sitúa dentro de la implementación de MoveVM de Initia sobre el Cosmos SDK. La explotación que permitió fue la acuñación: crear saldos de tokens sin la autorización que normalmente precede a la emisión. Lo que el error no afectó importa tanto como lo que sí afectó. Los tokens INIT nativos estaban fuera del alcance de la explotación, por lo que el incidente no infló la oferta del token propio de la cadena.

Ese límite separa esto de la peor lectura de una acuñación no autorizada. Un atacante que imprime el token nativo diluye a todos los titulares de una vez, silenciosamente. Un atacante que imprime representaciones puente de otros activos —AUSD, ETH y USDC, como listó el cofundador— está limitado por el colateral real que respalda esas representaciones. Las dos cifras de pérdida circuladas en el primer día muestran qué tan rápido se movió ese límite. La estimación inicial de Spreek situó el retiro en $2.6 millones mientras las transferencias aún se movían; la cifra posterior del cofundador fue “~$2.7m”. La diferencia aproximada de $100,000 es el dinero que siguió moviéndose después del primer informe.

La traza de la transacción, descodificada por la empresa de análisis D2 Finance, comienza con una sola transacción firmada a las 14:59:26 UTC que acuñó 2.000.000 AUSD en el lado Initia. Ciento cincuenta y tres segundos después, un mensaje de LayerZero liberó 1,4 millones de AUSD reales desde el adaptador del lado Ethereum; 105 ETH siguieron a las 15:06:47 UTC, y otros 1,08 millones de USDC llegaron a Ethereum como nuevas acuñaciones a través del CCTP de Circle. Según las marcas de tiempo de D2 Finance, $2,65 millones regresaron a Ethereum dentro de los 7 minutos y 21 segundos de la acuñación, con una tasa de extracción de aproximadamente $6.000 por segundo durante todo el período.

El mecanismo es la parte que un informe post-mortem deberá explicar. Los activos puenteados de Initia se encuentran detrás de adaptadores OFT, contratos lockbox que sostienen tokens reales y los liberan cuando el saldo equivalente en Initia se quema. Un adaptador puede verificar que los tokens fueron quemados; no puede, según la perspectiva de D2 Finance, “comprobar si los tokens quemados alguna vez estuvieron respaldados”. Por lo tanto, el atacante acuñó una reclamación no respaldada, la quemó y recolectó colateral real. D2 Finance también señaló que un retroceso que borrara las quemas no borraría las liberaciones, por lo que la pregunta sobre la compensación total sigue abierta. El fallo entre el puente y el respaldo ya ha generado litigios en este ecosistema, incluyendo la disputa de $292 millones en rsETH entre Kelp DAO y LayerZero.

La respuesta más contundente provino de Agora, el emisor de la stablecoin AUSD. “Agora no tiene contratos inteligentes desplegados en Initia,” escribió la empresa. “Nuestro equipo de seguridad ha estado monitoreando la situación y congelará los fondos relacionados con las direcciones de los hackers que posean AUSD en cadenas donde se han desplegado contratos inteligentes de AUSD/Agora.” La declaración distingue al emisor del exploit y, al mismo tiempo, confirma que los 2 millones de “AUSD” acuñados en Initia nunca fueron el token propio de Agora.

Esa es la tensión central del artículo. Un ticker puede leerse como “AUSD” en dos cadenas y significar dos cosas distintas: la emisión nativa de Agora en una cadena y una representación puenteada en otra. El atacante explotó la segunda. La aclaración de Agora es que aún puede congelar fondos en las cadenas donde viven sus contratos reales; el riesgo residual es que la representación puenteada estaba respaldada por AUSD genuino mantenido en la caja fuerte del adaptador, y ese AUSD genuino ya se ha movido. Las redes basadas en Cosmos han visto este fallo antes. En octubre, Cosmos Labs instó a las cadenas EVM a detenerse tras KiiChain’s $148 million exploit, una señal de que los ataques de emisión y puente se han convertido en un modo de fallo recurrente en todo el ecosistema, más que en un error aislado.

Una parada completa de la cadena es el instrumento más brusco que tiene una red, y Initia lo utilizó intencionadamente. Detener el consenso impide que el atacante acuñe y puente más fondos, pero también congela a cada usuario legítimo, aplicación y validador en la red. El intercambio solo tiene sentido si el equipo consideró que la explotación podría seguir drenando fondos, lo que sugiere el lenguaje inicial de “fondos aún en movimiento”.

El mercado interpretó el incidente como contenido. INIT, el token nativo, cayó a aproximadamente $0.115 el 23 de octubre antes de recuperarse por encima de $0.15, según datos de CoinGecko: una respuesta coherente con una explotación limitada y no dilutiva, más que con un choque de oferta. Lo que sigue abierto es operativo. Initia no ha establecido una fecha de reinicio, y su cuenta oficial no ha confirmado un total final de pérdidas ni una causa técnica específica. La cadena aún estaba detenida más de seis horas después del incidente, atascada en la altura del bloque 23365925.

Lo que seguir observando es procedural y no especulativo. Initia dice que compartirá información verificada a través de sus canales oficiales, y un post-mortem que identifique la falla exacta de MoveVM y el plan de compensación es la próxima señal real. Hasta entonces, los hechos confirmados son más limitados que los números circulantes: una cadena fue detenida, un diagnóstico preliminar de un cofundador apuntó a una falla de Day-0 en MoveVM, y aproximadamente $2.7 millones en activos puenteados se transfirieron a Ethereum antes de que alguien pudiera detener la red.