Frappe non autorisée sur Initia

Le 23 octobre 2026, Initia a arrêté sa blockchain de couche 1 et ses rollups après qu'un attaquant a exploité une faille pour frapper des jetons non garantis et transférer le produit vers Ethereum, encaissant environ 2,6 millions de dollars. Le réseau a été suspendu à 15:41:30 UTC, et l'équipe n'avait pas confirmé l'ampleur totale ni la cause racine au moment de la divulgation initiale.

Ce qui s'est passé

Initia est une couche 1 basée sur Cosmos qui entrelace une chaîne centrale avec des rollups spécifiques aux applications (ses « Minitias ») et prend en charge la machine virtuelle Move aux côtés d'autres environnements d'exécution. Selon des analystes on-chain, l'attaquant a abusé d'une vulnérabilité dans une fonction Move pour créer des jetons qui n'étaient adossés à aucune garantie.

Le chercheur en sécurité Spreek a été le premier à signaler la frappe non autorisée de jetons et a estimé qu'environ 2,6 millions de dollars avaient été encaissés, « avec davantage en cours ». La société D2 Finance a rapporté que l'attaquant avait frappé 2 millions d'AUSD sans garantie suffisante, puis retiré environ 1,4 million d'AUSD, 105 ETH et 1,08 million d'USDC vers Ethereum via des transferts inter-chaînes. Le produit a été consolidé dans un portefeuille Ethereum détenant environ 1 135,5 ETH, d'une valeur d'environ 2,73 millions de dollars.

L'émetteur du stablecoin Agora a contesté que son AUSD ait été frappé sur Initia, affirmant qu'il n'exploite aucun contrat intelligent sur la chaîne et que l'incident concernait un produit tiers utilisant l'AUSD. Le jeton natif INIT d'Initia est brièvement tombé à environ 0,115 dollar avant de rebondir.

Conséquences

• Initia a arrêté sa chaîne de couche 1 et tous ses rollups pour stopper les nouvelles frappes et les sorties de fonds, et a indiqué que ses équipes de sécurité, ses validateurs et les plateformes d'échange enquêtaient.
• L'équipe a mis en garde les utilisateurs contre les liens non officiels et les fausses offres de récupération, et n'a fourni dans ses premières déclarations ni calendrier de redémarrage, ni chiffre de perte confirmé, ni cause racine identifiée.
• Les jetons frappés restés sur Initia (comme l'iUSD synthétique) ne pouvaient pas être échangés à leur valeur déclarée, de sorte que les totaux nominaux « frappés » circulant en ligne étaient bien supérieurs au montant réellement réalisé sur Ethereum.

Pourquoi c'est important

L'incident d'Initia est un exemple classique d'exploit de frappe non autorisée : lorsqu'un chemin de frappe privilégié peut être atteint sans garantie réelle, un attaquant peut fabriquer de la valeur à partir de rien et se précipiter pour la transférer vers une chaîne que la victime ne peut pas geler. Le même schéma a vidé Cashio, dont le bug de frappe infinie a permis à un attaquant d'imprimer du CASH non garanti sur Solana.

Il souligne aussi la surface d'attaque des environnements d'exécution plus récents. Les plateformes basées sur Move promettent une meilleure sécurité des ressources, mais une seule faille logique dans un chemin de frappe suffit à saper ces garanties — comme l'a montré auparavant l'exploit de logique métier contre Cetus Protocol sur Sui. Enfin, l'épisode met en évidence la rapidité avec laquelle la valeur s'échappe une fois qu'elle atteint une L1 composable : l'arrêt de la chaîne a stoppé les nouvelles frappes, mais les fonds déjà transférés vers Ethereum étaient hors de portée des validateurs.