A Initia parou de produzir blocos às 15:41:30 UTC em 23 de outubro, cerca de quarenta e dois minutos após um atacante cunhar 2.000.000 AUSD do nada e catorze minutos após o pesquisador pseudônimo Spreek sinalizar a atividade na cadeia. O primeiro aviso do projeto chamou isso de “um incidente de segurança” e não mencionou nenhum dos mecanismos. Esses mecanismos foram revelados em fragmentos ao longo do dia seguinte e, juntos, descrevem algo mais restrito do que um choque de oferta e mais preciso do que um erro comum: uma cunhagem não autorizada que se tornou dinheiro real no momento em que tocou uma ponte.
Em 23 de outubro de 2026, 15:41:30 UTC, o Initia L1 e os Rollups foram interrompidos devido a um incidente de segurança. Nossa equipe está investigando ativamente a situação e trabalhando para determinar o escopo completo de qualquer impacto com equipes de segurança, validadores e exchanges. Compartilharemos informações verificadas por meio de nossos canais oficiais à medida que estiverem disponíveis. Por favor, mantenha-se cauteloso com links, mensagens ou afirmações não oficiais circulando neste período.
— Initia (@initia) October 23, 2026
Initia é uma blockchain de camada 1 construída sobre o Cosmos SDK que hospeda uma rede de rollups interconectados chamados Minitias. Uma interrupção da cadeia base, portanto, desliga toda a constelação, não uma única aplicação. O que o primeiro aviso ocultou, o co-fundador Ezaan Mangalji forneceu separadamente. “Até onde sabemos até agora, este é um bug do Dia 0 relacionado ao MoveVM da Initia no CosmosSDK que permitiu ao explorador cunhar tokens adicionais na Initia L1, mas não se aplica aos tokens INIT nativos,” ele escreveu, acrescentando que o atacante “conseguiu cunhar e transferir cerca de US$ 2,7 milhões em AUSD, ETH e USDC antes da cadeia ser pausada.” O qualificador inicial é essencial. A Initia ainda não publicou um pós-morte, e sua conta oficial não confirmou um valor final de perda.
Um bug de dia 0 no MoveVM, não no token nativo
MoveVM é a máquina virtual que executa contratos inteligentes na Initia. Um bug do Dia 0 é aquele que foi enviado na implantação original, e o diagnóstico preliminar do co-fundador o localiza na implementação da MoveVM da Initia no Cosmos SDK. A exploração que ele permitiu foi a cunhagem — criação de saldos de tokens sem a autorização que normalmente precede a emissão. O que o bug não afetou é tão importante quanto o que afetou. Os tokens INIT nativos estavam fora do alcance da exploração, portanto, o incidente não inflacionou a oferta do próprio token da cadeia.
Essa fronteira separa isso da pior leitura de uma cunhagem não autorizada. Um atacante que imprime o token nativo dilui todos os detentores de uma vez, silenciosamente. Um atacante que imprime representações pontes de outros ativos — AUSD, ETH e USDC, conforme listado pelo co-fundador — é limitado pelo colateral real que sustenta essas representações. Os dois valores de perda circulados no primeiro dia mostram quão rápido essa limitação se moveu. A estimativa inicial de Spreek colocou o saque em US$ 2,6 milhões enquanto as transferências ainda estavam ocorrendo; a cifra posterior do co-fundador foi “~US$ 2,7 mi”. A diferença de cerca de US$ 100.000 é o dinheiro que continuou a se mover após o primeiro relatório.
Como uma cunhagem se tornou dinheiro real na ponte
A trilha da transação, decodificada pela empresa de análise D2 Finance, começa com uma única transação assinada às 14:59:26 UTC que cunhou 2.000.000 AUSD no lado Initia. Cento e cinquenta e três segundos depois, uma mensagem LayerZero liberou 1,4 milhão de AUSD reais do adaptador do lado Ethereum; 105 ETH seguiram às 15:06:47 UTC, e mais 1,08 milhão de USDC chegaram ao Ethereum como novas cunhagens por meio do CCTP da Circle. Pelos timestamps da D2 Finance, $2,65 milhões estavam de volta no Ethereum dentro de 7 minutos e 21 segundos da cunhagem — uma taxa de extração de aproximadamente $6.000 por segundo ao longo do período.
O mecanismo é a parte que um pós-morte terá de explicar. Os ativos ponteados da Initia estão atrás de adaptadores OFT, contratos lockbox que mantêm tokens reais e os liberam quando o saldo correspondente do lado Initia é queimado. Um adaptador pode verificar que os tokens foram queimados; não pode, na formulação da D2 Finance, “verificar se os tokens queimados já foram lastreados”. Portanto, o atacante cunhou uma reivindicação não lastreada, a queimou e coletou colateral real. A D2 Finance também observou que uma reversão que apagasse as queimas não apagaria as liberações, o que mantém em aberto a questão do make-whole. A falha entre ponte e lastro já gerou litígios neste ecossistema, incluindo a disputa de US$ 292 milhões em rsETH entre Kelp DAO e LayerZero.
Agora diz que nunca esteve na Initia
A resposta mais contundente veio da Agora, emissora da stablecoin AUSD. “A Agora não possui contratos inteligentes implantados no Initia,” a empresa escreveu. “Nossa equipe de segurança tem monitorado a situação e congelará fundos relacionados a endereços de hackers que detêm AUSD em cadeias onde contratos inteligentes AUSD/Agora estão implantados.” A declaração distanciou a emissora da exploração e, ao mesmo tempo, confirmou que os 2 milhões de “AUSD” cunhados no Initia nunca foram o próprio token da Agora.
Essa é a tensão central do artigo. Um ticker pode ler “AUSD” em duas cadeias e significar duas coisas diferentes — a emissão nativa da Agora em uma cadeia e uma representação ponteada dela em outra. O atacante explorou a segunda. A garantia da Agora é que ainda pode congelar fundos nas cadeias onde seus contratos reais estão localizados; o risco residual é que a representação ponteada era lastreada por AUSD genuíno mantido na caixa de bloqueio do adaptador, e esse AUSD genuíno já foi movido. Redes baseadas em Cosmos já enfrentaram esse tipo de falha antes. Em outubro, a Cosmos Labs pediu às cadeias EVM que parassem após KiiChain’s $148 million exploit, um sinal de que ataques de cunhagem e ponte se tornaram um modo de falha recorrente em todo o ecossistema, e não apenas um bug isolado.
O que a Pausa Faz, e o que Não Pode Responder
Uma parada completa da cadeia é o instrumento mais bruto que uma rede possui, e a Initia o usou intencionalmente. Parar o consenso impede o atacante de cunhar e transferir mais fundos, mas também congela todos os usuários, aplicações e validadores legítimos da rede. A troca só faz sentido se a equipe julgou que a exploração poderia continuar drenando fundos, o que a linguagem inicial de “fundos ainda em movimento” sugere que era o caso.
O mercado considerou o incidente contido. O INIT, o token nativo, caiu para cerca de US$ 0,115 em 23 de outubro antes de recuperar-se acima de US$ 0,15, segundo dados da CoinGecko — uma resposta consistente com uma exploração limitada e não dilutiva, e não um choque de oferta. O que permanece em aberto é operacional. A Initia ainda não definiu uma data de reinício, e sua conta oficial não confirmou um total final de perdas nem uma causa técnica específica. A cadeia ainda estava interrompida mais de seis horas após o incidente, presa na altura do bloco 23365925.
O que observar a seguir é procedural, não especulativo. A Initia afirma que compartilhará informações verificadas por meio de seus canais oficiais, e um pós-mortem identificando exatamente o defeito do MoveVM e o plano de compensação é o próximo sinal real. Até lá, os fatos confirmados permanecem mais restritos do que os números circulantes: uma cadeia foi interrompida, um diagnóstico preliminar de um dos co-fundadores apontou para um bug do MoveVM no Dia 0, e aproximadamente US$ 2,7 milhões em ativos ponteados deixaram a Ethereum antes que alguém pudesse pausar a rede.
Divulgação: Este artigo não representa aconselhamento financeiro. O conteúdo e os materiais apresentados nesta página são exclusivamente para fins educacionais.