Initia ha bloccato la sua blockchain Layer 1 e tutti i rollup connessi dopo che un utente malintenzionato ha sfruttato una vulnerabilità software precedentemente sconosciuta per coniare token non autorizzati e prelevare circa 2,7 milioni di dollari in criptovalute dalle riserve dei bridge cross-chain.

La rete ha smesso di elaborare transazioni alle 15:41:30 UTC del 23 ottobre 2026, lasciando gli utenti nell'impossibilità di effettuare transazioni attraverso l'infrastruttura blockchain interconnessa di Initia. Quando i validatori hanno coordinato l'arresto di emergenza, l'attaccante aveva già trasferito AUSD, Ethereum (ETH) e USDC su Ethereum.

Il co-fondatore di Initia Ezaan Mangalji ha identificato un difetto precedentemente sconosciuto nell'implementazione della Move Virtual Machine (MoveVM) della rete su Cosmos SDK, come dichiarato in un post su X. La vulnerabilità consentiva la creazione non autorizzata di token sulla blockchain di base, ma non permetteva all'attaccante di coniare ulteriori token nativi INIT.

L'attaccante ha coniato token privi di copertura e prosciugato le riserve dei bridge

L'exploit è iniziato alle 14:59 UTC circa, quando l'attaccante ha eseguito transazioni malevole che hanno generato rappresentazioni prive di copertura di asset normalmente trasferiti su Initia tramite bridge cross-chain.

Un'indagine on-chain di Bitquery ha tracciato circa 7,48 milioni di dollari in creazione non autorizzata di token al valore nominale, eseguita in quattro tranche nell'arco di 13 secondi. Gran parte di tale importo, tuttavia, era costituito da iUSD sintetico che non poteva essere riscattato al valore dichiarato.

L'attaccante è riuscito a estrarre circa 2,73 milioni di dollari in asset reali dalle riserve dei bridge che coprono AUSD, ETH e USDC su Initia. I prelievi hanno sfruttato la relazione tra i token emessi su Initia e gli asset sottostanti custoditi su altre reti: i saldi non autorizzati potevano essere bruciati tramite transazioni di bridgetrimenti legittime, liberando criptovalute reali dalle riserve corrispondenti.

Circa 1,4 milioni di AUSD e 105 ETH sono stati rilasciati tramite adapter LayerZero sul lato Ethereum, mentre altri 1,08 milioni di USDC sono transitati attraverso il Cross-Chain Transfer Protocol (CCTP) di Noble e Circle. Gli asset rubati sono stati successivamente convertiti in circa 1.135,5 ETH e consolidati in un wallet Ethereum.

L'incidente fa seguito al recente exploit del bridge di Cysic, in cui un attaccante ha coniato 10 milioni di token CYS non autorizzati e trasferito circa 727.000 dollari di proventi su Ethereum.

Le riserve USDC quasi esaurite mentre Agora interviene

L'attacco ha ridotto significativamente la liquidità che copre gli asset trasferiti su Initia, creando problemi immediati di prelievo per gli utenti legittimi. La riserva USDC di Noble, che inizialmente deteneva circa 1,09 milioni di dollari, è scesa a soli 63 dollari durante l'incidente e i prelievi successivi. Il saldo esaurito ha impedito ulteriori riscatti, e sono stati registrati 55 tentativi di prelievo non riusciti prima dell'arresto della rete, molti dei quali con richieste ripetute dello stesso trading bot.

La riserva ETH sul lato Ethereum ha perso circa il 96% delle proprie disponibilità, mentre l'adapter AUSD è stato prosciugato di circa il 71%.

Vulnerabilità simili alle riserve avevano già interessato la Liquid Network, che ha sospeso le operazioni a settembre dopo che quasi 4.000 BTC hanno lasciato il suo wallet di federazione tramite un peg-out non autorizzato.

Agora, l'emittente di AUSD, ha confermato su X che la propria infrastruttura di stablecoin non è stata interessata. L'azienda non ha contratti AUSD nativi distribuiti su Initia, e le sue riserve di stablecoin esistenti rimangono interamente coperte. Questo distingue la rappresentazione AUSD interessata sul lato Initia e le riserve dei bridge dai contratti AUSD nativi di Agora e dalle riserve di stablecoin esistenti. Agora si è inoltre impegnata a congelare i saldi AUSD collegati all'attaccante sulle reti supportate. Tuttavia, l'AUSD rubato era già stato convertito in ETH prima di tale intervento, e non è stato stabilito alcun congelamento effettivo di tali proventi.

Gli exchange sospendono i trasferimenti di INIT mentre le indagini continuano

L'exchange sudcoreano Upbit ha temporaneamente sospeso i depositi e i prelievi di INIT a seguito dell'incidente di sicurezza e ha emesso un avviso di cautela per il trading. Le negoziazioni a vista non sono state sospese nell'ambito di tale iniziale provvedimento. Anche KuCoin ha sospeso i depositi e i prelievi di INIT il 24 ottobre, citando una manutenzione essenziale della rete, secondo un annuncio ufficiale.

Initia, che ha annunciato l'arresto su X, sta collaborando con specialisti della sicurezza, validatori e exchange di criptovalute per determinare l'intera portata della vulnerabilità e valutare le perdite attraverso i bridge interessati. Le indagini non hanno ancora stabilito una perdita finanziaria definitiva, una causa tecnica completa o un accordo di compensazione per gli utenti coinvolti. Non è stata annunciata alcuna release della patch né una data confermata per il riavvio della rete.

Initia ha invitato gli utenti a evitare link di recupero non ufficiali e messaggi sospetti mentre la blockchain Layer 1 e i rollup connessi rimangono sospesi.