Les développeurs de la blockchain modulaire Initia ont suspendu le réseau et ses rollups, des blockchains secondaires construites au-dessus du réseau principal, vendredi 23 octobre, après qu'un attaquant a exploité une faille pour créer des jetons sans garantie. C'est ce qu'a annoncé le cofondateur du projet, Ezaan Mangalji, connu dans la communauté sous le pseudonyme Zon.
Selon Mangalji, l'attaquant a exploité une faille jusqu'alors inconnue dans la machine virtuelle MoveVM, qui fonctionne sur Cosmos SDK, pour créer 2 millions de jetons du stablecoin AUSD, indexé sur le dollar. Via LayerZero, un pont qui transfère des jetons entre différentes blockchains, il a transféré vers Ethereum environ 1,4 million d'AUSD, 105 ETH et 1,08 million d'USDC. Mangalji estime le montant total transféré à environ 2,7 millions de dollars ; le chercheur en sécurité indépendant Spreek, qui a repéré l'attaque en premier, l'estime à 2,6 millions de dollars.
Mangalji a écrit : « L'attaquant a réussi à créer et à transférer via le pont des jetons AUSD, ETH et USDC pour une valeur d'environ 2,7 millions de dollars avant que la chaîne ne soit suspendue. » Selon lui, la faille n'a pas affecté INIT, le jeton natif du réseau.
Agora, l'émetteur d'AUSD, a affirmé que le stablecoin reste entièrement garanti malgré l'émission non autorisée. La plateforme sud-coréenne Upbit a temporairement suspendu les dépôts et retraits d'INIT et averti les traders du risque, et KuCoin a suspendu les opérations sur le jeton le lendemain, invoquant une maintenance.
À l'heure de la publication, Initia n'avait annoncé aucune date de redémarrage du réseau ni publié de rapport officiel sur les causes de l'incident. Selon Mangalji, l'enquête se poursuit avec les validateurs du réseau, les plateformes d'échange et les partenaires en sécurité.
