Un hacker ha sfruttato un bug precedentemente sconosciuto nell'infrastruttura blockchain di Initia il 23 ottobre 2026, coniando e trasferendo tramite bridge circa 2,7 milioni di dollari in asset digitali prima che i validatori della rete arrestassero completamente la chain, congelando tutte le transazioni sulla sua Layer 1 e sui rollup collegati.

Initia è una rete basata su Cosmos SDK che abbina una blockchain Layer 1 a un framework di rollup interconnessi, eseguendo smart contract attraverso la macchina virtuale Move (MoveVM), il runtime del linguaggio di programmazione Move, sviluppato originariamente per il progetto Diem di Meta e progettato attorno a regole rigorose per la gestione degli asset digitali. Move è stato successivamente adottato da altre layer 1, tra cui Aptos e Sui, che eseguono ciascuna le proprie implementazioni della macchina virtuale.

Come si è svolto l'incidente di Initia

L'account ufficiale di Initia ha confermato che, alle 15:41:30 UTC del 23 ottobre, la sua L1 e i rollup erano stati arrestati in risposta a un incidente di sicurezza. La pausa era una misura difensiva deliberata e non un crash della rete, e ha interrotto toute le attività on-chain mentre il team indagava sull'entità della violazione.

L'evento di coniazione riportato da 2,7 milioni di dollari

Il co-fondatore Ezaan Mangalji ha attribuito l'incidente a un bug Day 0 nell'implementazione MoveVM di Initia su CosmosSDK. Nella terminologia di sicurezza, la designazione Day 0 si riferisce a una vulnerabilità sconosciuta e non patchata al momento dello sfruttamento, lasciando i difensori senza una soluzione pronta. Secondo Mangalji, la falla consentiva all'attaccante di coniare token aggiuntivi direttamente sulla L1 di Initia, aggirando completamente i normali controlli di emissione. Le falle a livello del layer di esecuzione sono trattate con particolare urgenza perché una macchina virtuale elabora ogni transazione accettata da una chain, il che significa che un difetto in quel punto può manifestarsi nella logica degli asset principali anziché in una singola applicazione.

to the best of our knowledge so far, this is a Day 0 bug related to Initia's MoveVM on CosmosSDK that allowed the exploiter to mint additional tokens on the Initia L1 but does not apply to native INIT tokens. the attacker was able to mint and bridge out ~$2.7m worth of AUSD,…

— zon 🪢 (@ItsAlwaysZonny) October 23, 2026

Mangalji ha dichiarato che l'attaccante ha coniato e trasferito tramite bridge circa 2,7 milioni di dollari in AUSD, ETH e USDC prima che la chain fosse sospesa. I fondi hanno lasciato l'ecosistema Initia attraverso l'infrastruttura di bridging, il che significa che l'attaccante aveva già spostato gli asset su altre reti al momento dellentrata in vigore dell'arresto.

È importante sottolineare che Mangalji ha sottolineato come i token INIT nativi non siano stati toccati dal bug descritto. La vulnerabilità riguardava specificamente la logica di coniazione dei token del modulo MoveVM, non l'asset di base della chain. Secondo la dichiarazione iniziale del team, l'ambito finale, la cifra totale della perdita e la causa principale definitiva restano oggetto di indagine attiva.

L'arresto della chain e lo stato immediato

Quando la L1 di Initia è andata in tilt, ogni rollup costruito sopra di essa ha seguito la stessa sorte. L'arresto ha interrotto l'elaborazione delle transazioni in tutto l'ecosistema Initia, interessando qualsiasi applicazione, bridge o utente con attività in sospeso in quel momento. La chain risultava ancora arrestata al momento della pubblicazione della reportistica secondaria. L'exchange sudcoreano Upbit, una delle principali piattaforme di trading crypto del paese, ha inoltre sospeso depositi e prelievi di INIT dopo l'incidente, riflettendo la risposta standard degli exchange a un evento di sicurezza su una chain attiva. Gli exchange in genere sospensione il supporto per un asset mentre la sua rete è offline, perché i depositi non possono essere confermati durante un arresto.

Questo tipo di arresto coordinato è uno strumento legittimo di gestione delle crisi per le catene basate su Cosmos, in cui i validatori possono raggiungere un consenso sociale per fermare la produzione di blocchi. Previene l'elaborazione di ulteriori transazioni fraudolente, ma significa anche che gli utenti legittimi non possono spostare fondi finché la chain non si riavvia con un binario patchato. Poiché le reti Cosmos SDK necessitano di una supermaggioranza del potere di voto dei validatori di nuovo online per riprendere la produzione di blocchi, i tempi del riavvio dipendono dalla rapidità con cui i validatori si coordinano sul software aggiornato.

Cosa significa l'arresto per gli utenti di Initia e la risposta

Effetti pratici sui possessori di token e sulle applicazioni

Qualsiasi transazione inviata alla L1 di Initia durante la finestra di arresto è di fatto sospesa. Le applicazioni che si affidano all'infrastruttura rollup di Initia, compresi i progetti che utilizzano AUSD come layer di stablecoin, non potevano elaborare le azioni degli utenti mentre la chain era sospesa.

L'emittente dello stablecoin Agora è intervenuta rapidamente per contenere l'esposizione cross-chain. AUSD è uno stablecoin ancorato al dollaro statunitense emesso dalla società. Agora ha dichiarato di non avere smart contract distribuiti su Initia stessa, e il suo team di sicurezza si è impegnato a congelare i fondi collegati agli indirizzi dell'hacker che detengono AUSD sulle catene in cui gli smart contract di Agora sono distribuiti.

We're aware of today's security incident on Initia. Agora has no smart contracts deployed on Initia. Our security team has been monitoring the situation and will freeze funds related to hacker addresses that hold AUSD on chains where AUSD/Agora smart contracts are deployed.

— Agora (@withAUSD) October 23, 2026

La risposta di Agora evidenzia come gli emittenti di asset cross-chain possano agire come livello di difesa secondario quando una catena host viene compromessa. Mettendo in blacklist gli indirizzi degli attaccanti a livello di contratto su altre reti, l'emittente può di fatto bloccare i fondi già trasferiti tramite bridge, riducendo la capacità dell'attaccante di liquidare gli asset rubati. Questa dinamica è una caratteristica significativa dell'infrastruttura di stablecoin programmabili che gli attaccanti puramente on-chain spesso sottovalutano.

Reazione del mercato del token INIT

INIT funge da token nativo della rete Initia, utilizzato per le commissioni di transazione, lo staking e la governance. Poiché il bug prendeva di mira asset non nativi i possessori di INIT hanno affrontato un profilo di rischio diverso rispetto alle vittime dirette dell'exploit di coniazione. Al momento dell'istantanea di ricerca, INIT era quotato a $0.132268, in calo dell'1,83% su 24 ore, con circa 33,45 milioni di dollari di volume di trading su 24 ore rispetto a una capitalizzazione di mercato di circa 27,9 milioni di dollari. Il volume su 24 ore superiore alla capitalizzazione totale indica un turnover insolitamente elevato, coerente con un sell-off legato all'evento di sicurezza e a un trading reattivo anziché a normali pattern di liquidità.

Il più ampio Crypto Fear & Greed Index si attestava a 51 (Neutrale) al momento dell'istantanea, suggerendo che l'incidente non aveva ancora prodotto una reazione di paura a livello di mercato al di là dell'attività del token di Initia stessa.

Milestone della risposta da monitorare

Initia ha dichiarato di lavorare con team di sicurezza, validatori ed exchange per indagare sull'intera portata dell'incidente. Le milestone chiave in arrivo includono una causa principale confermata e una patch, un aggiornamento coordinato dei validatori al binario patchato, un riavvio supervisionato della chain e un report post-incidente che riconcili la cifra di 2,7 milioni di dollari con le prove on-chain. Finché non sarà pubblicato un post-mortem ufficiale, la cifra di 2,7 milioni di dollari dovrebbe essere trattata come una stima preliminare anziché come un numero definitivo di perdita.

Incidenti di questo tipo, in cui un exploit della chain abilitato dai bridge consente una rapida estrazione di asset prima dell'arresto, sono diventati uno schema ricorrente nell'infrastruttura basata su Cosmos. Uno schema di movimento cross-chain simile è stato documentato nell'incidente Coldcard/THORChain, in cui un attaccante ha utilizzato l'infrastruttura di interoperabilità per convertire gli asset rubati prima che i responsabili potessero reagire. La velocità del bridging resta una sfida strutturale che nessun singolo protocollo può risolvere unilateralmente.

Utenti e sviluppatori con posizioni attive o deployment su Initia dovrebbero fare esclusivamente affidamento sugli annunci ufficiali del team Initia prima di intraprendere qualsiasi azione. I tentativi di phishing e i falsi schemi di recupero seguono regolarmente gli arresti di chain di alto profilo; trattare qualsiasi link non richiesto o richiesta di connessione del wallet relativa a questo incidente come malevolo finché non verificato attraverso i canali di comunicazione ufficiali di Initia. Gli sviluppatori che costruiscono sullo stack rollup di Initia o che utilizzano AUSD come layer di regolamento dovrebbero monitorare i canali ufficiali di Agora per aggiornamenti su blacklist di indirizzi e protezioni a livello di contratto, simile a ciò che gli operatori istituzionali che gestiscono posizioni crypto multi-asset seguono abitualmente durante eventi di sicurezza che interessano l'infrastruttura sottostante.

Disclaimer: Questo articolo ha finalità esclusivamente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettuate sempre le vostre ricerche prima di prendere decisioni.