Initia ferma catena e rollup dopo un presunto exploit di mint illimitato: già incassati circa 2,6 milioni di dollari

Initia, la blockchain layer 1 dietro pool di un market maker automatico divergono, rispetto a tenere semplicemente gli stessi token. Diventa definitiva al prelievo.">il token INIT, ha fermato la catena principale e tutti i suoi rollup alle 15:41:30 UTC di venerdì 23 ottobre per un incidente di sicurezza, come ha comunicato il progetto su X. Quattordici minuti prima, l’analista on-chain Spreek aveva scritto che la catena era stata violata, che diversi token erano stati creati senza limite e che l’attaccante aveva già incassato circa 2,6 milioni di dollari, con altri fondi in movimento. Initia ha confermato lo stop, ma non l’exploit, né la sua entità o la sua causa.

Il post di Spreek è uscito alle 15:27 UTC. Diceva, testualmente, che la catena di Initia era stata «hacked and a bunch of tokens infiniminted», cioè violata con una serie di token coniati all’infinito, e che finora erano stati incassati 2,6 milioni di dollari. TechFlow lo ha rilanciato alle 15:44 UTC, precisando che Initia non aveva ancora risposto.

La comunicazione di Initia è arrivata alle 16:00 UTC. Indicava l’orario dello stop al secondo e spiegava che il team stava lavorando con società di sicurezza, validatori ed exchange per stabilire «the full scope of any impact», ossia la portata completa dell’eventuale impatto. Aggiungeva che le informazioni verificate sarebbero arrivate solo dai canali ufficiali e invitava gli utenti a diffidare di link, messaggi e annunci non ufficiali.

Alle 16:40 UTC nessuna società di sicurezza aveva pubblicato una propria analisi. Coindaro non ha trovato alcun rapporto di PeckShield, CertiK, SlowMist o Cyvers, né un post-mortem di Initia. Le testate che finora hanno raccontato l’exploit di Initia, tra cui The Defiant, Crypto Briefing, PANews e TechFlow, si basano tutte sulle stesse due fonti: Spreek e il post di Initia.

Exploit Initia: cosa è confermato e cosa poggia su un solo analista

Lo stop è ufficiale, e lo è anche il suo orario. Il post di Initia, citato anche da Upbit nel proprio avviso, è finora l’unica dichiarazione pubblica del progetto. Non usa le parole exploit, hack o mint.

Tutto il resto arriva da Spreek. La coniazione in sé, i 2,6 milioni di dollari incassati, i wallet e gli importi che contengono risalgono ai post dell’analista. Crypto Briefing aggiunge un elemento: sostiene che la coniazione sia riconducibile a una transazione visibile sull’explorer ufficiale di Initia. Non fornisce l’hash e Coindaro non ha visto quella transazione.

Mancano ancora diversi dati di base. Initia non ha indicato il modulo o il contratto sfruttato, i token coniati né il totale creato. Non ha elencato quali rollup siano coinvolti, oltre a un generico «rollup». Non ha dato alcuna data per la ripartenza.

Dove sono finiti i soldi: circa 1.102 ETH su Ethereum

Una parte del valore ha già lasciato Initia. TechFlow, citando Spreek, ha riferito che un indirizzo Ethereum che inizia con 0xDD9 e riconducibile all’attaccante conteneva circa 1.102 ETH, pari a circa 2,65 milioni di dollari, e che l’indirizzo era stato finanziato la prima volta tramite Tornado Cash, il mixer. The Defiant scrive che i registri di Ethereum mostrano scambi in stablecoin e un successivo trasferimento di 1.135,5 ETH. Nessuna fonte indica quale bridge o quale percorso sia stato usato per spostare i fondi da Initia a Ethereum.

Un altro wallet su Initia, anch’esso collegato all’attaccante, conteneva ancora circa 4,54 milioni di dollari in asset, scrive TechFlow, sempre citando Spreek. Con la catena ferma non si può elaborare alcuna transazione, quindi per ora quei saldi non possono muoversi. Initia non ha spiegato se questo sia stato un motivo per fermare tutto.

L’elenco degli asset conta per chi detiene INIT. Quelli indicati da Spreek sono stablecoin ed ETH, non INIT. Se anche INIT fosse tra i token coniati non si sa: nessuno l’ha detto e nessuno l’ha escluso.

Cosa significano un exploit di mint e lo stop della catena per chi detiene token

L’offerta di un token dovrebbe crescere solo secondo regole precise: un bridge conia un token «wrapped» quando gli asset reali vengono bloccati sull’altra catena, un contratto di stablecoin conia quando arriva la garanzia. Un exploit di mint spezza questo legame. L’attaccante crea token senza alcuna copertura e li scambia con asset reali come USDC o ETH prima che pool ed exchange se ne accorgano. La perdita ricade su chi ha accettato i token falsi in cambio di valore: pool di liquidità, piattaforme di prestito o qualunque utente abbia scambiato con loro.

Lo stop della catena è il freno di emergenza. I validatori smettono di produrre blocchi, quindi non passa nulla: niente trasferimenti, niente scambi sugli exchange nativi della catena, niente staking o unstaking, niente bridge in uscita. Lo stop non fa perdere i fondi e non li mette in salvo: li congela dove erano all’ultimo blocco. Quando la catena ripartirà, i validatori potrebbero in linea di principio decidere anche, tramite governance, cosa fare dei saldi dell’attaccante; Initia non ha annunciato nulla del genere. Per capire dove avvengono di solito gli attacchi, leggi la nostra guida per sapere se una blockchain può essere hackerata e la voce del glossario su cos’è un rollup.

Cosa possono e non possono fare ora i possessori di INIT

• INIT e gli altri token custoditi in un wallet su Initia o su uno dei suoi rollup non si possono spostare finché la catena non riparte. Nessuna transazione firmata adesso verrà elaborata.
• Initia ha messo in guardia gli utenti da link e messaggi non ufficiali. Durante uno stop compaiono spesso finte pagine di «rimborso», «claim» o «migrazione»; Initia ha detto che gli aggiornamenti verificati arriveranno solo dai suoi canali ufficiali.
• INIT custoditi su un exchange centralizzato risultano nei registri dell’exchange, non sulla catena ferma. Lo scambio lì può continuare, ma depositi e prelievi dipendono dalla catena e dall’avviso di ciascuna piattaforma.
• Qualunque decisione di comprare o vendere durante un incidente di sicurezza ancora aperto si prende con informazioni mancanti: l’entità dell’exploit e la sorte dell’offerta di INIT sono entrambe ignote.

Upbit sospende depositi e prelievi di INIT

Upbit, il maggiore exchange della Corea del Sud, ha sospeso depositi e prelievi di INIT con un avviso pubblicato alle 15:57 UTC (le 00:57 del 24 ottobre a Seul), motivandolo con i segnali di un incidente di sicurezza su Initia e con la tutela degli utenti. La sospensione dura finché Upbit non confermerà che i trasferimenti sono di nuovo stabili; sono bloccati anche i rimborsi dei depositi errati e la registrazione di nuovi indirizzi di prelievo. Alle 16:15 UTC l’exchange ha aggiunto un avviso di cautela sulle negoziazioni, che segnala una possibile maggiore volatilità del prezzo di INIT. Le negoziazioni in sé non sono state fermate.

PANews ha riferito che anche Bithumb, l’altra grande piattaforma coreana, ha sospeso depositi e prelievi di INIT, e il sito coreano Economybloc scrive che Bithumb ha emesso un avviso di cautela sugli investimenti. Coindaro non è riuscita ad aprire la pagina degli avvisi di Bithumb per confermare né l’una né l’altra cosa. Nessun altro exchange aveva pubblicato un avviso che siamo riusciti a trovare.

Prezzo di INIT: in rialzo sulla giornata nonostante lo stop

INIT veniva scambiato intorno a 0,1375 dollari alle 16:42 UTC circa, secondo CoinGecko, in rialzo di circa il 7,8% nelle 24 ore, in un intervallo giornaliero tra 0,1141 e 0,1491 dollari. La stessa pagina indicava che INIT aveva perso il 2,8% dopo la notizia dell’hack. La capitalizzazione di mercato era di circa 28,9 milioni di dollari. Su questa base, i 2,6 milioni riportati come incassati equivalgono a circa il 9% del valore di mercato del token. Il prezzo può ancora muoversi con forza quando si conoscerà l’entità della coniazione.

Una catena giovane, con audit e un precedente stop

Initia ha lanciato la mainnet nel 2025. È una L1 a cui sono collegati molti rollup, che chiama interwoven rollups; sono costruiti sul Cosmos SDK e supportano sia MoveVM sia EVM, secondo Crypto Briefing. L’offerta di INIT è di 1 miliardo di token. Il progetto ha raccolto circa 24 milioni di dollari, con sostenitori come Binance Labs e Delphi Digital, e il suo codice è passato per diversi audit, afferma la stessa testata, che ricorda anche come un errore di configurazione sulle ricompense di staking nel 2025 sia stato corretto con un voto di governance e non fosse un exploit.

Un rollup ha già chiuso quest’anno, per un motivo diverso. Rave si è fermato al blocco 32.380.209 il 3 agosto 2026 e i suoi utenti sono stati rimborsati uno a uno, secondo la proposta di governance che ha organizzato la chiusura. Era una chiusura pianificata, non un attacco. Coindaro non ha trovato exploit precedenti di Initia.

Il quarto presunto bug di mint in otto giorni

L’exploit di Initia, se confermato, si aggiungerebbe a una serie di casi simili. Il 16 ottobre un bug di Pirate Chain ha coniato 39,8 milioni di ARRR. Il 17 ottobre NEAR Intents ha pubblicato un postmortem da cui risulta che un bug nella notifica dei depositi ha coniato 3,8 milioni di dollari di fondi fantasma. Il giorno dopo, l’autore dell’exploit sul bridge di Cysic ha mandato 300 ETH a Tornado Cash. I progetti e il loro codice sono diversi. Il metodo è lo stesso: token creati senza copertura, poi trasformati in asset reali prima che qualcuno riesca a fermare il flusso.

Cosa succede ora a Initia

I prossimi passi spettano a Initia: la portata dell’incidente, il modulo che ha ceduto, se l’offerta di INIT sia stata toccata, come ripartiranno la catena e i suoi rollup e se gli utenti che hanno perso fondi saranno risarciti. Nessuno ha una data. Upbit riaprirà i trasferimenti di INIT solo con un nuovo avviso. Anche le cifre di Spreek potrebbero cambiare man mano che si ricostruiscono le transazioni dell’attaccante. Coindaro aggiornerà questo articolo quando Initia o una società di sicurezza pubblicheranno le proprie conclusioni.