Incident Initia : des jetons créés sans garantie ont exposé les réserves de ponts

Un arrêt annoncé après un incident de sécurité

Initia a annoncé l’arrêt de sa blockchain principale et de ses rollups le 23 octobre 2026, à la suite d’un incident de sécurité. Cette annonce est rapportée par The Block et reprise dans l’avis de 0xCERT. Le présent article revient sur les faits et les analyses publiés à propos de cet incident, sans établir un statut du réseau en temps réel.

Le cofondateur Ezaan Mangalji, connu sous le nom de Zon, a évoqué un défaut jusque-là inconnu dans l’implémentation MoveVM sur Cosmos SDK. D’après sa description préliminaire rapportée par The Block, le problème permettait une création non autorisée de jetons, mais ne concernait pas la création de jetons natifs INIT.

Les jetons créés et les fonds sortis ne sont pas le même montant

Dans son enquête originale, Bitquery estime à 2,73 millions de dollars les actifs effectivement sortis vers Ethereum. Cette estimation est attribuée à son analyse des mouvements sur les chaînes. Elle ne doit pas être confondue avec la valeur nominale de tous les jetons créés sans garantie, ni avec un bilan définitif confirmé par Initia.

La différence compte pour mesurer un incident. Un attaquant peut créer une quantité importante de représentations numériques sans pouvoir les vendre toutes au prix attendu. Le préjudice effectivement réalisé dépend notamment de la liquidité accessible et des réserves qui peuvent être retirées. Additionner simplement les jetons créés peut donc donner une image trompeuse des pertes.

Le rôle des ponts dans la circulation des actifs

Un pont peut immobiliser un actif sur un réseau et permettre l’utilisation d’une représentation sur un autre. Lorsque cette représentation revient, le système libère les actifs correspondants selon ses règles. La fiabilité de cette correspondance fait partie de la sécurité du dispositif.

L’analyse de Bitquery décrit ici des représentations créées sur Initia puis utilisées pour obtenir des actifs sur Ethereum. Cette description ne signifie pas que l’émetteur d’un stablecoin a lui-même créé des unités non garanties sur sa propre infrastructure. Le réseau, le contrat de représentation et la réserve sollicitée doivent être identifiés séparément.

Ne pas inventer une cause de phishing

Les éléments consultés ne permettent pas de présenter l’incident comme une simple autorisation malveillante signée par un utilisateur. Une faille dans l’exécution ou la création de jetons n’appelle pas automatiquement la même réponse qu’un vol de phrase de récupération. Révoquer des permissions ne constitue pas une correction démontrée du défaut décrit.

Pour les personnes concernées, il faut distinguer les communications officielles, les analyses techniques préliminaires et les messages de prétendue assistance. Un lien de remboursement non vérifié ne devient pas fiable parce qu’un incident est réel. Les prochaines informations déterminantes seront un compte rendu technique consolidé, le périmètre des pertes confirmé et les conditions de remise en service communiquées par le projet.