Initia s’efforce de corriger une vulnérabilité critique après qu’un attaquant a exploité son implémentation de MoveVM pour créer des actifs non adossés et transférer environ 2,7 millions de dollars hors du réseau via un pont.
Cette blockchain modulaire a interrompu sa couche 1 ainsi que les rollups qui lui sont associés le 23 octobre, après avoir détecté l’incident de sécurité. Initia a ensuite déclaré que l’attaquant avait exploité un bogue dans le mécanisme de mise en cache des scripts de MoveVM, permettant à du code malveillant de contourner les contrôles de sécurité et de manipuler l’état présenté à la machine virtuelle.
Selon le projet, l’incident a touché des actifs enveloppés et transférés via un pont, plutôt que le jeton natif INIT d’Initia.
Initia suspend sa couche 1 et ses rollups après un incident de sécurité
Initia a interrompu sa couche 1 et ses réseaux de rollups à 15:41 UTC le 23 octobre, tandis que les développeurs, les validateurs, les plateformes d’échange et les spécialistes de la sécurité enquêtaient sur l’incident.
Les premiers rapports du chercheur en blockchain Spreek laissaient entendre qu’un attaquant avait trouvé un moyen de créer des actifs sans autorisation et avait déjà transféré plus de 2,6 millions de dollars hors de l’écosystème.
Initia a ensuite apporté davantage de précisions et confirmé qu’environ 2,7 millions de dollars avaient été transférés par bridge avant l’interruption du réseau.
La décision d’arrêter à la fois le réseau de base et ses rollups a empêché la poursuite de l’exploitation de la faille pendant que les développeurs enquêtaient sur la vulnérabilité.
Contrairement à un exploit limité à une application décentralisée particulière, le problème touchait l’infrastructure au niveau de la machine virtuelle, ce qui rendait son impact potentiel considérablement plus large.
Un bogue dans la mise en cache des scripts de MoveVM était à l’origine du problème
L’enquête d’Initia a identifié la vulnérabilité dans son implémentation de MoveVM sur Cosmos SDK.
Selon la mise à jour publiée par le projet à la suite de l’incident, l’attaquant a exploité une faille dans la mise en cache des scripts de MoveVM. Ce bogue permettait à du code malveillant de contourner les contrôles censés empêcher toute manipulation non autorisée de l’état.
L’attaquant a ensuite pu falsifier l’état de MoveVM et se créditer des actifs qui n’étaient pas correctement garantis.
Il est important de distinguer cela de la simple création de jetons INIT natifs supplémentaires.
Initia a indiqué que l’exploit n’avait pas augmenté l’offre d’INIT et n’avait pas permis à l’attaquant de créer des jetons INIT natifs.
L’état manipulé a plutôt permis à l’attaquant de recevoir des représentations non garanties d’actifs, notamment du WETH, des actifs liés à iUSD et de l’USDC.
L’incident a donc révélé une vulnérabilité dans la gestion de l’état par l’environnement d’exécution, et non une faille dans la politique monétaire d’INIT elle-même.
L’attaquant transfère environ 2,7 millions de dollars hors du réseau par bridge
Avant que les validateurs n’interrompent le réseau, l’attaquant a pu transférer environ 2,7 millions de dollars d’actifs hors d’Initia.
Initia a indiqué que les fonds sortants comprenaient environ 105 WETH, près de 1,4 million d’AUSD0 et quelque 1,08 million d’USDC. Les actifs ont été transférés par des infrastructures comprenant LayerZero, Noble et le protocole de transfert inter-chaînes de Circle.
Les fonds ont ensuite été convertis en environ 1 135,52 ETH et transférés vers une adresse Ethereum identifiée par le projet.
Le recours à des infrastructures inter-chaînes illustre l’un des défis auxquels sont confrontées les équipes de sécurité des blockchains après un exploit.
Dès lors que des actifs créés de manière irrégulière peuvent être transférés vers un autre réseau et échangés contre des actifs liquides tels que l’ETH, il devient considérablement plus difficile de contenir l’incident.
L’arrêt de la chaîne compromise peut empêcher d’autres transactions sur place, mais il ne peut pas annuler automatiquement les transferts d’actifs déjà parvenus sur une autre blockchain.
L’offre d’INIT natif n’a pas été affectée
Après l’attaque, l’une des principales précisions apportées par Initia était que le jeton INIT natif lui-même n’était pas vulnérable à la méthode de création utilisée par l’attaquant.
Les premières descriptions de l’incident évoquaient de manière générale la création non autorisée de jetons, suscitant des inquiétudes quant à une éventuelle compromission de l’offre d’INIT.
Le projet a ensuite indiqué que ce n’était pas le cas.
La vulnérabilité permettait à l’attaquant de manipuler l’état de MoveVM de façon à obtenir des versions non garanties d’autres actifs, sans modifier l’offre correspondante de jetons légitimes. Aucun INIT natif n’a été créé dans le cadre de l’attaque.
Cette distinction est importante, car un exploit capable d’augmenter arbitrairement l’offre du jeton natif d’une blockchain pourrait avoir des conséquences économiques bien plus larges.
La perte d’environ 2,7 millions de dollars reste importante, mais selon les informations publiées jusqu’à présent, l’incident n’a pas compromis le mécanisme d’émission sous-jacent d’INIT.
Initia prépare un correctif de sécurité
Initia a depuis élaboré un correctif pour la vulnérabilité.
Le projet a indiqué que le correctif était examiné par des partenaires spécialisés en sécurité avant le redémarrage de la couche 1 et des rollups.
Plutôt que de remettre immédiatement le réseau en ligne après avoir identifié la cause profonde, Initia maintient les opérations à l’arrêt pendant que le correctif fait l’objet d’un audit de sécurité. L’équipe a déclaré qu’elle fournirait un plan de redémarrage concret une fois ces audits terminés.
Le projet travaille également avec des partenaires spécialisés en sécurité aux efforts de récupération des actifs déplacés lors de l’exploitation de la faille.
Un rapport d’analyse complet devrait être publié une fois l’enquête et les travaux de correction terminés.
Pourquoi les bogues des machines virtuelles sont particulièrement graves
Les exploits de contrats intelligents reposent généralement sur une erreur au sein d’une application donnée.
Une vulnérabilité dans l’environnement d’exécution d’une blockchain présente un risque différent.
Les machines virtuelles exécutent le code utilisé par les applications sur une blockchain. Si des hypothèses intégrées à cet environnement peuvent être contournées, plusieurs applications ou actifs peuvent potentiellement hériter de la même vulnérabilité.
Dans le cas d’Initia, les premières conclusions indiquent que la mise en cache des scripts a permis à du code spécialement conçu d’échapper aux contrôles de sécurité prévus.
Un détail d’implémentation de la couche d’exécution est ainsi devenu un mécanisme capable de produire des actifs sans garantie ayant une valeur économique.
Cet incident montre pourquoi les audits de sécurité des blockchains ne peuvent pas se limiter aux contrats intelligents des applications.
Les machines virtuelles, les bridges, les systèmes de messagerie inter-chaînes, les mécanismes de mise en cache et la logique de transition d’état font tous partie du périmètre de sécurité.
Les infrastructures inter-chaînes peuvent amplifier les exploits
L’attaque met également en lumière le rôle que peuvent jouer les bridges lors d’incidents de sécurité.
L’attaquant ne s’est pas contenté de créer des actifs sans garantie et de les laisser sur Initia.
Ces actifs ont été rapidement transférés par des systèmes inter-chaînes et convertis en actifs sur Ethereum avant que le réseau puisse être arrêté.
Cette séquence réduit le temps dont disposent les validateurs et les développeurs du protocole pour réagir.
Cela signifie également que la surveillance de la sécurité doit de plus en plus s’effectuer simultanément sur plusieurs réseaux.
Une anomalie apparue sur une blockchain peut devenir, quelques minutes plus tard, un problème pour Ethereum, Solana ou un émetteur de stablecoin si les actifs peuvent circuler par des infrastructures de bridge interconnectées.
L’incident d’Initia s’ajoute aux risques de sécurité des blockchains en 2026
L’exploit visant Initia rappelle une fois de plus que les architectures de blockchain toujours plus interconnectées introduisent de nouvelles hypothèses de sécurité, en plus de leurs avantages.
Les rollups, les bridges et les environnements d’exécution modulaires permettent aux applications de transférer efficacement des actifs et des données entre réseaux, mais chaque couche supplémentaire ajoute du code et des infrastructures qui doivent fonctionner correctement.
La réaction d’Initia a limité l’exploit en interrompant le réseau. Le projet indique que la vulnérabilité a désormais été identifiée et qu’un correctif est en cours d’audit.
Les prochaines étapes importantes seront la fin de l’examen de sécurité, le rétablissement de la garantie des actifs concernés et le redémarrage ordonné de la couche 1 et des rollups d’Initia.
D’ici là, le réseau constitue une étude de cas utile sur la manière dont un bogue de bas niveau dans l’exécution peut rapidement se transformer en incident de sécurité inter-chaînes de plusieurs millions de dollars.
Avertissement : Cet article est fourni à titre informatif uniquement. Il ne constitue pas et n’a pas vocation à servir de conseil juridique, fiscal, en investissement, financier ou autre.