Piratage d’Initia : la chaîne et ses rollups à l’arrêt, 2,6 millions de dollars déjà encaissés

Initia, la blockchain de couche 1 derrière le token INIT, a arrêté sa chaîne principale et tous ses rollups à 15 h 41 min 30 s UTC le vendredi 23 octobre, à la suite d’un incident de sécurité, a annoncé le projet sur X. Quatorze minutes plus tôt, l’analyste on-chain Spreek avait écrit que la chaîne était piratée, que plusieurs tokens avaient été créés sans limite et que l’attaquant avait déjà encaissé environ 2,6 millions de dollars, d’autres fonds étant en mouvement. Initia confirme l’arrêt, mais pas l’exploit, son ampleur ni sa cause.

Le message de Spreek est paru à 15 h 27 UTC. pool di un market maker automatico divergono, rispetto a tenere semplicemente gli stessi token. Diventa definitiva al prelievo.">Il disait, mot pour mot, que la chaîne Initia avait été « hackée et un tas de tokens “infiniminted” », c’est-à-dire créés à l’infini, et que 2,6 millions de dollars avaient déjà été encaissés. TechFlow l’a relayé à 15 h 44 UTC, en précisant qu’Initia n’avait pas encore réagi.

L’avis d’Initia a suivi à 16 h 00 UTC. Il donne l’heure de l’arrêt à la seconde près et indique que l’équipe travaille avec des équipes de sécurité, des validateurs et des plateformes pour établir « l’ampleur complète de tout impact ». Il ajoute que les informations vérifiées ne viendront que des canaux officiels et demande aux utilisateurs de se méfier des liens, messages et affirmations non officiels.

À 16 h 40 UTC, aucune société de sécurité n’avait publié sa propre analyse. Coindaro n’a trouvé aucun rapport de PeckShield, CertiK, SlowMist ou Cyvers, ni aucun post-mortem d’Initia. Les médias qui couvrent pour l’instant le piratage d’Initia, dont The Defiant, Crypto Briefing, PANews et TechFlow, reposent tous sur les deux mêmes sources : Spreek et le message d’Initia lui-même.

Piratage d’Initia : ce qui est confirmé et ce qui repose sur un seul analyste

L’arrêt est officiel, tout comme son horaire. Le message d’Initia, que cite aussi Upbit dans son propre avis, est la seule déclaration publique du projet à ce stade. Il n’emploie ni le mot exploit, ni piratage, ni mint.

Tout le reste vient de Spreek. La création de tokens elle-même, les 2,6 millions de dollars encaissés, les portefeuilles et les montants qu’ils contiennent remontent tous aux messages de l’analyste. Crypto Briefing apporte un élément de preuve : le média affirme que la création de tokens peut être reliée à une transaction visible sur l’explorateur officiel d’Initia. Il ne donne aucun hash, et Coindaro n’a pas vu cette transaction.

Plusieurs faits de base manquent encore. Initia n’a nommé ni le module ou le contrat détourné, ni les tokens créés, ni le total créé. Elle n’a pas dit quels rollups sont touchés, au-delà du mot « rollups » en général. Elle n’a donné aucune date de redémarrage.

Où est passé l’argent : environ 1 102 ETH sur Ethereum

Une partie de la valeur a déjà quitté Initia. TechFlow, citant Spreek, a rapporté qu’une adresse Ethereum commençant par 0xDD9 et liée à l’attaquant détenait environ 1 102 ETH, soit quelque 2,65 millions de dollars, et que cette adresse avait d’abord été alimentée via Tornado Cash, le mixeur. The Defiant écrit que les registres d’Ethereum montrent des échanges contre des stablecoins, puis un transfert ultérieur de 1 135,5 ETH. Aucune source ne nomme le pont ni le chemin utilisés pour déplacer les fonds d’Initia vers Ethereum.

Un autre portefeuille sur Initia, lui aussi lié à l’attaquant, contenait encore environ 4,54 millions de dollars d’actifs, écrit TechFlow, là encore d’après Spreek. Tant que la chaîne est à l’arrêt, aucune transaction n’y est traitée : ces soldes ne peuvent donc pas bouger pour le moment. Initia n’a pas dit si c’était une raison d’avoir tout arrêté.

Cette liste d’actifs compte pour les détenteurs d’INIT. Les avoirs cités par Spreek sont des stablecoins et de l’ETH, pas de l’INIT. On ignore si l’INIT figurait parmi les tokens créés. Personne ne l’a dit, et personne ne l’a exclu.

Ce que signifient un exploit de mint et un arrêt de chaîne pour les détenteurs

L’offre d’un token ne doit croître que selon des règles fixes : un pont crée un token enveloppé quand de vrais actifs sont verrouillés de l’autre côté, un contrat de stablecoin en crée quand le collatéral arrive. Un exploit de mint rompt ce lien. L’attaquant fabrique des tokens adossés à rien, puis les échange contre de vrais actifs comme l’USDC ou l’ETH avant que les pools et les plateformes ne s’en aperçoivent. La perte retombe sur ceux qui ont pris ces faux tokens en échange : pools de liquidité, prêteurs ou tout utilisateur qui a échangé face à eux.

Un arrêt de chaîne est le frein d’urgence. Les validateurs cessent de produire des blocs, donc plus rien ne passe : ni transferts, ni échanges sur les plateformes natives de la chaîne, ni staking ou déstaking, ni pont vers l’extérieur. Un arrêt ne fait ni perdre ni sauver des fonds : il les fige là où ils se trouvaient au dernier bloc. Au redémarrage, les validateurs pourraient en principe aussi décider par la gouvernance du sort des soldes de l’attaquant ; Initia n’a rien annoncé de tel. Pour savoir où les attaques surviennent d’ordinaire, voir notre guide sur la possibilité de pirater une blockchain, ainsi que notre entrée de glossaire sur ce qu’est un rollup.

Ce que les détenteurs d’INIT peuvent et ne peuvent pas faire maintenant

• L’INIT et les autres tokens détenus dans un portefeuille sur Initia ou l’un de ses rollups ne peuvent pas être déplacés avant le redémarrage de la chaîne. Aucune transaction signée maintenant ne sera traitée.
• Initia a mis les utilisateurs en garde contre les liens et messages non officiels. De fausses pages de « remboursement », de « réclamation » ou de « migration » apparaissent souvent pendant un arrêt ; Initia a indiqué que les mises à jour vérifiées ne viendraient que de ses canaux officiels.
• L’INIT détenu sur une plateforme centralisée figure dans les livres de la plateforme, pas sur la chaîne à l’arrêt. Les échanges peuvent y continuer, mais les dépôts et retraits dépendent de la chaîne et de l’avis propre à chaque plateforme.
• Toute décision d’acheter ou de vendre pendant un incident de sécurité encore ouvert se prend avec des informations manquantes : l’ampleur de l’exploit et le sort de l’offre d’INIT sont tous deux inconnus.

Upbit suspend les dépôts et retraits d’INIT

Upbit, première plateforme de Corée du Sud, a suspendu les dépôts et retraits d’INIT dans un avis publié à 15 h 57 UTC (00 h 57 le 24 octobre à Séoul), en invoquant des signes d’incident de sécurité sur Initia et la protection de ses utilisateurs. La suspension court jusqu’à ce qu’Upbit confirme que les transferts sont de nouveau stables ; les retours de dépôts erronés et l’enregistrement d’adresses de retrait sont aussi suspendus. À 16 h 15 UTC, la plateforme a ajouté un avis de mise en garde sur les échanges, avertissant que le cours de l’INIT pourrait devenir plus volatil. Les échanges eux-mêmes n’ont pas été interrompus.

PANews a rapporté que Bithumb, l’autre grande plateforme coréenne, avait elle aussi suspendu les dépôts et retraits d’INIT, et le média coréen Economybloc écrit que Bithumb a émis un avertissement aux investisseurs. Coindaro n’a pas pu ouvrir la page d’avis de Bithumb pour confirmer l’un ou l’autre. Nous n’avons trouvé d’avis d’aucune autre plateforme.

Cours de l’INIT : en hausse sur la journée malgré l’arrêt

L’INIT s’échangeait autour de 0,1375 $ vers 16 h 42 UTC, selon CoinGecko, en hausse d’environ 7,8 % sur 24 heures, dans une fourchette de 0,1141 $ à 0,1491 $. La même page indiquait que l’INIT avait reculé de 2,8 % après l’annonce du piratage. Sa capitalisation était d’environ 28,9 millions de dollars. Sur cette base, les 2,6 millions de dollars rapportés comme encaissés représentent environ 9 % de la valeur de marché du token. Le cours peut encore bouger fortement une fois l’ampleur de la création connue.

Une jeune chaîne, des audits et un arrêt antérieur

Initia a lancé son mainnet en 2025. C’est une L1 à laquelle sont rattachés de nombreux rollups, qu’elle appelle rollups entrelacés ; ils reposent sur le Cosmos SDK et prennent en charge à la fois MoveVM et l’EVM, selon Crypto Briefing. L’INIT a une offre de 1 milliard de tokens. Le projet a levé environ 24 millions de dollars, auprès de soutiens comme Binance Labs et Delphi Digital, et son code est passé par plusieurs audits, d’après le même média. Celui-ci rappelle aussi qu’une erreur de configuration sur les récompenses de staking en 2025 a été corrigée par un vote de gouvernance et n’était pas un exploit.

Un rollup s’est déjà arrêté cette année, pour une autre raison. Rave s’est arrêté au bloc 32 380 209 le 3 août 2026 et ses utilisateurs ont été remboursés à parité, selon la proposition de gouvernance qui l’a organisé. Il s’agissait d’une fermeture planifiée, pas d’une attaque. Coindaro n’a trouvé aucun exploit antérieur d’Initia.

Le quatrième bug de mint rapporté en huit jours

L’exploit d’Initia, s’il se confirme, s’ajouterait à une série de cas similaires. Le 16 octobre, un bug de Pirate Chain a créé 39,8 millions d’ARRR. Le 17 octobre, NEAR Intents a publié un post-mortem montrant qu’un bug de notification de dépôt a créé 3,8 millions de dollars de fonds fantômes. Le lendemain, l’auteur de l’exploit du pont Cysic a envoyé 300 ETH à Tornado Cash. Les projets et leur code diffèrent. La méthode est la même : des tokens créés sans contrepartie, puis convertis en vrais actifs avant que quiconque puisse couper le flux.

La suite pour Initia

Les prochaines étapes reviennent à Initia : l’ampleur de l’incident, le module défaillant, l’éventuelle atteinte à l’offre d’INIT, les modalités de redémarrage de la chaîne et de ses rollups, et l’indemnisation ou non des utilisateurs qui ont perdu des fonds. Aucune n’a de date. Upbit ne rouvrira les transferts d’INIT que par un nouvel avis. Les chiffres de Spreek peuvent aussi évoluer à mesure que les transactions de l’attaquant sont tracées. Coindaro mettra cet article à jour dès qu’Initia ou une société de sécurité publiera ses conclusions.