Initia suspend les L1 et les rollups après une exploitation de 2,7 M$ sur la création de jetons

Initia a cessé de produire des blocs à 15:41:30 UTC le 23 octobre, environ quarante-deux minutes après qu'un attaquant ait créé 2 000 000 AUSD de rien et quatorze minutes après que le chercheur pseudonyme Spreek ait signalé l'activité sur la chaîne. Le premier avis du projet l'a qualifié de « incident de sécurité » sans nommer aucun des mécanismes. Ces mécanismes sont arrivés par fragments au cours de la journée suivante et, ensemble, ils décrivent quelque chose de plus précis qu'un choc d'offre et plus ciblé qu'un bogue classique : une création non autorisée devenu de l'argent réel au moment où elle a touché un pont.

Au 23 octobre 2026, 15:41:30 UTC, les Initia L1 et les Rollups ont été arrêtés en raison d'un incident de sécurité. Notre équipe investigate activement la situation et travaille à déterminer la portée complète de tout impact avec les équipes de sécurité, les validateurs et les plateformes d'échange. Nous partagerons les informations vérifiées via nos canaux officiels dès qu'elles seront disponibles. Veuillez rester prudents face aux liens, messages ou affirmations non officiels circulant en ce moment.

— Initia (@initia) October 23, 2026

Initia est une blockchain de couche 1 construite sur le Cosmos SDK qui héberge un réseau de rollups interconnectés qu'elle appelle des Minitias. Une interruption de la chaîne de base met donc toute la constellation hors ligne, et non une seule application. Ce que le premier avis n'a pas révélé, le cofondateur Ezaan Mangalji l'a fourni séparément. « Pour autant que nous le sachions jusqu'à présent, il s'agit d'un bug de jour 0 lié au MoveVM d'Initia sur CosmosSDK qui a permis à l'attaquant de créer des jetons supplémentaires sur l'Initia L1, mais qui ne s'applique pas aux jetons INIT natifs », écrit-il, ajoutant que l'attaquant « a pu créer et transférer environ 2,7 millions de dollars en AUSD, ETH et USDC avant que la chaîne ne soit mise en pause ». La qualifier d'ouverture est déterminante. Initia n'a pas publié de post-mortem, et son compte officiel n'a pas confirmé de chiffre final de perte.

MoveVM est la machine virtuelle qui exécute les contrats intelligents sur Initia. Un bug de jour 0 est un défaut présent dès le déploiement initial, et le diagnostic préliminaire du cofondateur l'identifie dans l'implémentation de MoveVM d'Initia sur le Cosmos SDK. L'exploitation qu'il a permise consistait en la création de jetons — la génération de soldes de jetons sans l'autorisation normalement requise avant l'émission. Ce que le bug n'a pas touché est aussi important que ce qu'il a affecté : les jetons INIT natifs étaient hors de portée de l'exploitation, donc l'incident n'a pas augmenté l'offre du jeton propre à la chaîne.

Cette limite sépare cela de la pire lecture d'une émission non autorisée. Un attaquant qui imprime le token natif dilue tous les détenteurs en même temps, silencieusement. Un attaquant qui imprime des représentations pontées d'autres actifs — AUSD, ETH et USDC, comme l'a listé le cofondateur — est contraint par les collatéraux réels sous-jacents à ces représentations. Les deux chiffres de perte circulant le premier jour montrent à quelle vitesse cette contrainte s'est déplacée. L'estimation initiale de Spreek a placé le retrait à 2,6 millions de dollars pendant que les transferts étaient encore en cours ; le chiffre ultérieur du cofondateur était « ~2,7 M $ ». L'écart d'environ 100 000 dollars correspond à l'argent qui a continué de circuler après le premier rapport.

La trace de la transaction, décodée par l'entreprise d'analyse D2 Finance, commence par une seule transaction signée à 14:59:26 UTC qui a émis 2 000 000 AUSD du côté Initia. Cent cinquante-trois secondes plus tard, un message LayerZero a libéré 1,4 million d'AUSD réels depuis l'adaptateur côté Ethereum ; 105 ETH ont suivi à 15:06:47 UTC, et un supplément de 1,08 million d'USDC sont arrivés sur Ethereum sous forme de nouvelles émissions via le CCTP de Circle. Selon les horodatages de D2 Finance, 2,65 millions de dollars étaient de retour sur Ethereum dans les 7 minutes et 21 secondes suivant l'émission — un taux d'extraction d'environ 6 000 dollars par seconde sur toute la durée.

Le mécanisme est la partie qu'un post-mortem devra expliquer. Les actifs pontés d'Initia sont situés derrière des adaptateurs OFT, des contrats lockbox qui détiennent des jetons réels et les libèrent lorsque le solde correspondant du côté Initia est brûlé. Un adaptateur peut vérifier que des jetons ont été brûlés ; il ne peut pas, selon la présentation de D2 Finance, « vérifier si les jetons brûlés ont jamais été garantis ». L'attaquant a donc émis une réclamation non garantis, l'a brûlée et a récupéré des garanties réelles. D2 Finance a également noté qu'un rollback effaçant les brûlures n'effacerait pas les libérations, ce qui explique pourquoi la question du make-whole reste ouverte. L'échec du pont par rapport à la garantie a déjà engendré des litiges dans cet écosystème, notamment le litige de 292 millions de dollars en rsETH entre Kelp DAO et LayerZero.

La réponse la plus tranchante est venue d’Agora, l’émetteur de la stablecoin AUSD. « Agora n’a déployé aucun contrat intelligent sur Initia », la société a écrit. « Notre équipe de sécurité surveille la situation et gelera les fonds liés aux adresses de pirates détenant de l’AUSD sur les chaînes où des contrats intelligents AUSD/Agora sont déployés. » Cette déclaration distancie l’émetteur de l’exploit et confirme en même temps que les 2 millions d’« AUSD » créés sur Initia n’étaient jamais le jeton d’Agora.

C’est la tension centrale de l’article. Un ticker peut afficher « AUSD » sur deux chaînes et signifier deux choses différentes — l’émission native d’Agora sur une chaîne, et une représentation pontée sur une autre. L’attaquant a exploité la seconde. La réassurance d’Agora est qu’elle peut toujours geler les fonds sur les chaînes où se trouvent ses contrats réels ; le risque résiduel est que la représentation pontée était garantie par du véritable AUSD détenu dans la boîte de verrouillage de l’adaptateur, et que ce véritable AUSD a déjà été déplacé. Les réseaux basés sur Cosmos ont déjà connu cette défaillance. En octobre, Cosmos Labs a appelé les chaînes EVM à arrêter après KiiChain’s $148 million exploit, ce qui montre que les attaques de type mint-and-bridge sont devenues un mode de défaillance récurrent dans l’écosystème, et non plus un bogue isolé.

Une interruption complète de la chaîne est l'instrument le plus brut qu'un réseau possède, et Initia l'a utilisé intentionnellement. Arrêter la consensus empêche l'attaquant de créer et de transférer davantage de fonds, mais il gèle également tous les utilisateurs légitimes, applications et validateurs du réseau. Ce compromis n'a de sens que si l'équipe a jugé que l'exploit pouvait continuer à drainer des fonds, ce que le langage initial « les fonds sont encore en mouvement » suggère être le cas.

Le marché a considéré l'incident comme contenu. INIT, le token natif, est tombé à environ 0,115 $ le 23 octobre avant de rebondir au-dessus de 0,15 $, selon les données de CoinGecko — une réaction cohérente avec une exploitation limitée et non dilutive plutôt qu'un choc d'offre. Ce qui reste ouvert, c'est l'aspect opérationnel. Initia n'a pas fixé de date de redémarrage, et son compte officiel n'a pas confirmé un montant final de pertes ni une cause technique précise. La chaîne était toujours arrêtée plus de six heures après l'incident, bloquée à la hauteur de bloc 23365925.

Ce qu'il faut surveiller ensuite est procédural plutôt que spéculatif. Initia affirme qu'elle partagera des informations vérifiées via ses canaux officiels, et un post-mortem identifiant la faille exacte de MoveVM et le plan de compensation constitue le prochain véritable signal. Jusque-là, les faits confirmés restent plus restreints que les chiffres circulants : une chaîne a été arrêtée, un diagnostic préliminaire d'un cofondateur a pointé vers une faille Day-0 de MoveVM, et environ 2,7 millions de dollars en actifs pontés ont quitté pour Ethereum avant que quiconque ne puisse arrêter le réseau.