Acuñación no autorizada en Initia

El 23 de octubre de 2026, Initia detuvo su blockchain de capa 1 y sus rollups después de que un atacante explotara un fallo para acuñar tokens sin respaldo y transferir el producto a Ethereum, retirando aproximadamente 2,6 millones de dólares. La red se suspendió a las 15:41:30 UTC, y el equipo no había confirmado el alcance total ni la causa raíz en el momento de la divulgación inicial.

Qué ocurrió

Initia es una capa 1 basada en Cosmos que entrelaza una cadena central con rollups específicos de aplicación (sus "Minitias") y admite la máquina virtual Move junto con otros entornos de ejecución. Según analistas on-chain, el atacante abusó de una vulnerabilidad en una función Move para crear tokens que no estaban respaldados por ningún colateral.

El investigador de seguridad Spreek fue el primero en señalar la acuñación no autorizada de tokens y estimó que se habían retirado unos 2,6 millones de dólares, "con más en camino". La firma D2 Finance informó de que el atacante acuñó 2 millones de AUSD sin respaldo suficiente y luego retiró alrededor de 1,4 millones de AUSD, 105 ETH y 1,08 millones de USDC a Ethereum mediante transferencias entre cadenas. El producto se consolidó en una billetera de Ethereum que contenía unos 1.135,5 ETH, valorados en cerca de 2,73 millones de dólares.

El emisor de la stablecoin Agora negó que su AUSD se hubiera acuñado en Initia, afirmando que no opera contratos inteligentes en la cadena y que el incidente involucraba un producto de terceros que usa AUSD. El token nativo INIT de Initia cayó brevemente a unos 0,115 dólares antes de recuperarse.

Consecuencias

• Initia detuvo su cadena de capa 1 y todos sus rollups para frenar nuevas acuñaciones y salidas de fondos, y señaló que sus equipos de seguridad, validadores y exchanges estaban investigando.
• El equipo advirtió a los usuarios sobre enlaces no oficiales y falsas ofertas de recuperación, y en sus primeras declaraciones no ofreció un calendario de reinicio, una cifra de pérdida confirmada ni una causa raíz identificada.
• Los tokens acuñados que permanecieron en Initia (como el iUSD sintético) no podían canjearse por su valor declarado, por lo que los totales nominales "acuñados" que circulaban en línea eran muy superiores a la cantidad realmente realizada en Ethereum.

Por qué importa

El incidente de Initia es un ejemplo de manual de un exploit de acuñación no autorizada: cuando se puede alcanzar una ruta de acuñación privilegiada sin colateral real, un atacante puede fabricar valor de la nada y correr a transferirlo a una cadena que la víctima no puede congelar. El mismo patrón vació a Cashio, cuyo fallo de acuñación infinita permitió a un atacante imprimir CASH sin respaldo en Solana.

También subraya la superficie de ataque de los entornos de ejecución más nuevos. Las plataformas basadas en Move prometen una mayor seguridad de recursos, pero un solo fallo lógico en una ruta de acuñación basta para socavar esas garantías, como mostró antes el exploit de lógica de negocio contra Cetus Protocol en Sui. Por último, el episodio evidencia la rapidez con la que el valor escapa una vez que alcanza una L1 componible: detener la cadena frenó las nuevas acuñaciones, pero los fondos ya transferidos a Ethereum quedaron fuera del alcance de los validadores.