Initia est de nouveau en ligne après plus de neuf jours d'interruption. Dans une annonce sur X publiée lundi en début de journée, le projet a confirmé que sa blockchain de layer-1 et ses rollups traitent à nouveau les transactions, indiquant que « l'Initia L1 et les rollups sont désormais en ligne et opérationnels ». Ce redémarrage met fin à un arrêt initié le 23 octobre après que des attaquants ont exploité une faille dans le MoveVM d'Initia, leur permettant de retirer environ 2,7 millions de dollars du projet. Pour les utilisateurs et les applications construites sur le réseau, la reprise rétablit les fonctionnalités de base après plus d'une semaine durant laquelle ni la chaîne de layer-1 ni aucun de ses rollups connectés n'ont pu traiter de transactions.

Rétablissement progressif des services

Initia n'a pas réactivé toutes ses fonctionnalités d'un coup. Les transferts via le bridge inter-chaînes et les plateformes de trading devaient reprendre à un moment donné le lundi 2 novembre, les retraits étant achevés selon des calendriers prédéfinis. Selon les rapports, les actifs LayerZero OFT (Omnichain Fungible Token), WETH (Ether wrapped) et AUSD0 disposent d'une fenêtre de traitement de 24 heures, tandis que les retraits de USDC via Noble sont soumis à des limites horaires — des contrôles échelonnés qui déterminent la vitesse à laquelle le débit inter-chaînes normal revient.

Initia a également indiqué avoir rétabli l'adossement intégral pour AUSD0, USDC.n et WETH. L'équipe a continué de partager les détails de la reprise dans des mises à jour sur X.

Le redémarrage a fait suite à une mise à niveau de la chaîne appliquant un correctif MoveVM audité de manière indépendante, qui a ajouté des mesures de sécurité supplémentaires et coupé du réseau les soldes falsifiés encore liés à l'attaquant. Initia n'a pas procédé à un rollback du réseau, de sorte que l'historique existant sur la chaîne a été préservé plutôt que réécrit, même au moment où les soldes falsifiés étaient supprimés.

Une faille « Day 0 » du MoveVM a permis à l'attaquant de créer des tokens

Initia est un réseau de layer-1 construit sur le Cosmos SDK qui exécute la machine virtuelle Move et héberge des rollups connectés. Move a été initialement développé pour le projet Diem de Meta et est également utilisé par des réseaux comme Aptos et Sui, et Initia exécute sa propre implémentation du MoveVM sur le Cosmos SDK — le composant que le cofondateur a identifié comme source du bug. Le projet a interrompu sa chaîne de layer-1 et tous les rollups connectés à 15h41min30 UTC le 23 octobre, à la suite d'une alerte soulevée pour la première fois par l'analyste on-chain Spreek.

Le cofondateur Ezaan Mangalji a imputé la violation à un « bug Day 0 lié au MoveVM d'Initia sur CosmosSDK » jusque-là inconnu, qui permettait aux attaquants de créer des tokens supplémentaires non adossés sur la L1. Les pertes proviennent de ces créations de tokens non adossés, l'offre du token natif INIT étant restée inchangée tout au long de l'incident.

L'attaquant a créé 2 millions de tokens AUSD non adossés, puis utilisé des transferts inter-chaînes pour envoyer environ 1,4 million d'AUSD, 105 Ether et 1,08 million d'USDC vers Ethereum. Cryptopolitan a rapporté à l'époque que les fonds volés lors du piratage s'élevaient à environ 2,73 millions de dollars.

La Fondation Initia a couvert les pertes

La Fondation Initia a approuvé un financement pour combler le déficit des fonds drainés du bridge, à un ratio de 1:1 des actifs non adossés transférés hors de la chaîne — une étape qui a placé le déficit à la charge de la fondation plutôt que des utilisateurs détenant les actifs de bridge concernés. Agora, l'émetteur du stablecoin AUSD, a contribué à contenir les conséquences en gelant les adresses liées au pirate, une illustration de la capacité de gel que les émetteurs de stablecoins conservent sur les soldes on-chain.

La plateforme sud-coréenne Upbit a suspendu les dépôts et retraits d'INIT après l'incident, tout en maintenant les échanges. INIT a chuté d'environ 14 % à l'annonce de la nouvelle, avant de se reprendre. Au 29 octobre, le token aurait progressé de 53,21 % sur 24 heures, à 0,272354 $, après avoir grimpé jusqu'à 0,423 $ avant de se replier. INIT s'échangeait autour de 0,1585 $, en baisse de plus de 11 % sur les dernières 24 heures au moment de la rédaction de cet article. Désormais, les éléments à surveiller incluent le respect des délais des fenêtres de retrait de 24 heures et des limites horaires du USDC via Noble, ainsi que la reprise éventuelle des dépôts et retraits d'INIT par Upbit.

Source : Cryptopolitan