Initia a suspendu sa blockchain de couche 1 et tous les rollups connectés après qu'un attaquant a exploité une vulnérabilité logicielle jusqu'alors inconnue afin de créer des tokens non autorisés et de drainer environ 2,7 millions de dollars en cryptomonnaies depuis les réserves de ponts inter-chaînes.

Le réseau a cessé de traiter les transactions à 15h41min30 UTC le 23 octobre 2026, laissant les utilisateurs dans l'impossibilité d'effectuer des transactions sur l'infrastructure blockchain interconnectée d'Initia. Au moment où les validateurs ont coordonné l'arrêt d'urgence, l'attaquant avait déjà transféré de l'AUSD, de l'Ethereum (ETH) et de l'USDC vers Ethereum.

Le cofondateur d'Initia, Ezaan Mangalji, a identifié une faille jusqu'alors inconnue dans l'implémentation de la Move Virtual Machine (MoveVM) du réseau sur Cosmos SDK, comme indiqué dans une publication X. La vulnérabilité a permis la création de tokens non autorisés sur la blockchain de base, mais n'a pas permis à l'attaquant de créer des tokens INIT natifs supplémentaires.

L'attaquant a créé des tokens non adossés et drainé les réserves des ponts

L'exploit a commencé à environ 14h59 UTC, lorsque l'attaquant a exécuté des transactions malveillantes générant des représentations non adossées d'actifs normalement transférés vers Initia via des ponts inter-chaînes.

Une enquête on-chain menée par Bitquery a permis de retracer environ 7,48 millions de dollars de création de tokens non autorisée en valeur nominale, exécutée en quatre lots sur 13 secondes. Une grande partie de ce montant consistait toutefois en de l'iUSD synthétique qui ne pouvait pas être remboursé à sa valeur affichée.

L'attaquant est parvenu à extraire environ 2,73 millions de dollars d'actifs réels des réserves de ponts adossant l'AUSD, l'ETH et l'USDC sur Initia. Les retraits ont exploité la relation entre les tokens émis sur Initia et leurs actifs sous-jacents détenus sur d'autres réseaux des soldes non autorisés pouvaient être brûlés via des transactions de pont par ailleurs légitimes, libérant ainsi des cryptomonnaies réelles des réserves correspondantes.

Environ 1,4 million d'AUSD et 105 ETH ont été libérés via des adaptateurs LayerZero côté Ethereum, tandis qu'environ 1,08 million d'USDC ont transité par Noble et le Cross-Chain Transfer Protocol (CCTP) de Circle. Les actifs volés ont ensuite été convertis en environ 1 135,5 ETH et regroupés dans un portefeuille Ethereum.

Cet incident fait suite à l'exploit du pont Cysic, dans lequel un attaquant a créé 10 millions de tokens CYS non autorisés et transféré environ 727 000 dollars de produits vers Ethereum.

La réserve d'USDC presque vidée tandis qu'Agora réagit

L'attaque a considérablement réduit la liquidité adossant les actifs transférés par pont sur Initia, créant des problèmes de retrait immédiats pour les utilisateurs légitimes. La réserve d'USDC de Noble, qui détenait initialement environ 1,09 million de dollars, est tombée à seulement 63 dollars pendant l'incident et les retraits ultérieurs. Ce solde épuisé a empêché tout remboursement supplémentaire, et 55 tentatives de retrait infructueuses ont été enregistrées avant l'arrêt du réseau, dont beaucoup impliquaient des demandes répétées du même bot de trading.

La réserve d'ETH côté Ethereum a perdu environ 96 % de ses avoirs, tandis que l'adaptateur AUSD a été réduit d'environ 71 %.

Des vulnérabilités similaires de réserves avaient précédemment affecté le Liquid Network, qui a suspendu ses opérations en septembre après que près de 4 000 BTC ont quitté son portefeuille de fédération via un peg-out non autorisé.

Agora, l'émetteur de l'AUSD, a confirmé sur X que sa propre infrastructure de stablecoin n'était pas touchée. La société n'a déployé aucun contrat AUSD natif sur Initia, et ses réserves de stablecoin existantes restent intégralement adossées. Cela distingue la représentation AUSD côté Initia et les réserves de ponts affectées des contrats AUSD natifs et des réserves de stablecoin existantes d'Agora. Agora s'est également engagée à geler les soldes d'AUSD liés à l'attaquant sur les réseaux pris en charge. Cependant, l'AUSD volé avait déjà été converti en ETH avant cette intervention, et aucun gel effectif de ces produits n'a été établi.

Les plateformes suspendent les transferts d'INIT tandis que l'enquête se poursuit

La plateforme sud-coréenne Upbit a temporairement suspendu les dépôts et retraits d'INIT après l'incident de sécurité et a publié un avis de prudence pour le trading. Le trading au comptant n'a pas été suspendu dans le cadre de cette mesure initiale. KuCoin a également suspendu les dépôts et retraits d'INIT le 24 octobre, invoquant une maintenance réseau essentielle, selon une annonce officielle.

Initia, qui a annoncé l'arrêt sur X, collabore avec des spécialistes de la sécurité, des validateurs et des plateformes de cryptomonnaies afin de déterminer l'étendue complète de la vulnérabilité et d'évaluer les pertes sur les ponts affectés. L'enquête n'a pas encore établi le montant final des pertes financières, la cause technique complète ni un dispositif d'indemnisation pour les utilisateurs concernés. Aucune sortie de correctif ni date de redémarrage confirmée du réseau n'a été annoncée.

Initia a averti les utilisateurs d'éviter les liens de récupération non officiels et les messages suspects tant que la blockchain de couche 1 et les rollups connectés restent suspendus.