Initia arrête sa L1 et ses rollups : un attaquant émet des jetons sans plafond et retire 2,7 millions de dollars

La blockchain d’Initia est à l’arrêt. Le 23 octobre 2026 à 15:41:30 UTC, le projet a arrêté sa blockchain de couche 1 et les rollups qui s’y adossent, après qu’un attaquant a pu créer des jetons sans plafond grâce à une faille du mécanisme d’émission. Selon le cofondateur Ezaan Mangalji, l’attaquant a retiré quelque 2,7 millions de dollars en stablecoins AUSD et USDC ainsi qu’en ether avant l’arrêt de la blockchain. Si vous détenez des avoirs sur cette blockchain, la conséquence est très concrète : ce qui s’y trouve ne peut pas être déplacé tant qu’elle est immobile. Ce qui se trouve sur une plateforme d’échange n’est pour l’instant pas concerné, car les plateformes règlent en interne.

Ce qui s’est passé le 23 octobre 2026 sur la blockchain d’Initia

Le compte officiel d’Initia sur la plateforme X a annoncé l’arrêt en indiquant l’heure exacte. Bitcoin.com News cite le communiqué selon lequel la L1 d’Initia et les rollups ont été arrêtés en raison d’un incident de sécurité. La blockchain restait figée à la hauteur de bloc 23365925 à l’heure de bouclage de la source. Les développeurs n’avaient alors pas annoncé de date de reprise du fonctionnement normal, et le projet n’avait pas confirmé officiellement de montant total du préjudice.

L’affaire a d’abord été repérée hors du projet. Le chercheur en sécurité blockchain Spreek a décrit publiquement ces émissions inhabituelles avant toute prise de position du projet. Les opérations d’émission étaient elles-mêmes traçables via l’explorateur de blocs officiel d’Initia, donc visibles dans les données publiques de la blockchain. C’est typique de ce genre d’incident : les écritures figurent ouvertement dans les blocs, seule leur cause reste d’abord obscure.

Un infinite mint signifie : des jetons naissent sans contrepartie

Un infinite mint est un défaut qui permet de créer de nouveaux jetons sans dépôt, sans garantie et sans plafond. L’émission, en anglais minting, est l’opération normale par laquelle un protocole met en circulation de nouvelles unités d’un jeton. Elle est d’ordinaire strictement bornée, par exemple au montant que quelqu’un a déposé au préalable. Si une erreur de programmation supprime cette borne, un attaquant peut s’attribuer autant d’unités qu’il veut.

Le dommage économique ne naît pas au moment de l’émission. Des jetons sans contrepartie ne sont d’abord que des nombres dans une base de données. Cela devient dangereux à la seconde étape, lorsque ces nombres sont échangés contre quelque chose qui a réellement une valeur. C’est exactement là que la perte s’est produite dans le cas d’Initia : les unités fraîchement émises ont été envoyées vers d’autres blockchains via un pont et y ont été échangées contre de vrais actifs. Un pont, souvent appelé bridge, est un service qui transfère des jetons d’une blockchain à une autre et doit vérifier au passage que la contrepartie est couverte.

Ce déroulement en deux temps explique pourquoi le nombre de jetons émis et le montant de la perte réelle peuvent être très éloignés. L’arrêt du réseau comme frein de secours n’est pas un cas isolé : chez Maya Protocol, le déroulement après un exploit a été comparable, et là aussi tout a commencé par une émission qui n’était pas prévue ainsi.

La MoveVM sur le Cosmos SDK est le point faible désigné

Le cofondateur Ezaan Mangalji a situé la cause sur le plan technique, selon sa propre présentation. Bitcoin.com News le cite affirmant qu’il s’agissait d’un bug « day 0 » lié à la MoveVM d’Initia sur le Cosmos SDK, en limitant expressément cette appréciation à l’état des connaissances du moment. Un bug « day 0 » désigne une erreur présente dans le code depuis l’origine et passée inaperçue jusqu’à l’incident ; elle n’est donc pas la suite d’une modification ultérieure.

Pour situer les termes : le Cosmos SDK est une boîte à outils qui permet de créer des blockchains autonomes. La MoveVM est un environnement d’exécution des programmes sur la blockchain, issu du langage Move et réputé particulièrement strict dans le traitement des actifs. Initia combine les deux et exploite en outre des rollups, c’est-à-dire des couches d’exécution propres qui remettent leurs résultats à la blockchain principale. Selon le projet, ces rollups prennent en charge aussi bien la MoveVM que l’EVM connue d’Ethereum.

Ce que Mangalji a expressément exclu compte pour l’appréciation : le défaut ne concerne pas les jetons INIT natifs. Ce n’est pas une remarque accessoire mais la raison pour laquelle l’incident a touché le cours du jeton du projet autrement que dans des cas comparables. Cette distinction repose sur la déclaration du cofondateur et non sur un examen indépendant ; aucun rapport d’analyse complet du projet n’était disponible au moment de cet article.

De 2,6 à 2,7 millions de dollars : pourquoi les montants diffèrent

Les indications divergent sur le préjudice, et il ne faut pas les fondre en un chiffre rond. Mangalji évoque quelque 2,7 millions de dollars que l’attaquant a pu émettre en AUSD, en ether et en USDC puis retirer via le pont avant la mise en pause de la blockchain. Crypto Briefing fait état d’environ 2,6 millions de dollars convertis par l’attaquant et signale que d’autres fonds étaient encore en mouvement. La liste des piratages de DefiLlama retient 2,6 millions de dollars, avec un classement en défaut de comptabilité des jetons et la technique de l’infinite mint.

Un troisième chiffre, nettement plus élevé, porte sur le montant nominal émis. Une analyse de la maison Bitquery, citée par The Block, aboutit à quelque 7,48 millions de dollars de jetons créés en nominal. La plus grande part aurait toutefois été de l’iUSD synthétique, non remboursable à sa valeur nominale. Synthétique signifie que le jeton ne reproduit une valeur que par le calcul, sans garantie de rachat à cette valeur. Qui compare les chiffres doit donc distinguer proprement ce qui a été émis de ce qui a pu être transformé en argent réel. The Block bloque les consultations automatisées ; le contenu a été confirmé par une recherche.

Agora déclare l’AUSD et sa propre activité non concernés

L’un des noms de jetons en cause appartient à un émetteur tiers, et celui-ci a clairement démenti. Agora, la maison derrière le stablecoin AUSD, a indiqué selon Bitcoin.com News n’avoir aucun smart contract déployé sur Initia. L’AUSD et Agora ne sont pas concernés et l’AUSD n’existe pas sur Initia. Agora a parallèlement annoncé geler les avoirs liés aux adresses de l’attaquant, dans la mesure où ils se trouvent sur des blockchains où Agora exploite ses propres contrats.

Cette contradiction apparente avec l’énumération de Mangalji se résout, et c’est important pour comprendre : ce qui circulait sur Initia sous le nom d’AUSD n’était pas, du point de vue de l’émetteur, un jeton émis par lui, mais une représentation sur une blockchain étrangère. Concrètement, un nom connu sur une blockchain ne garantit pas que l’émetteur de ce nom y soit effectivement actif et réponde de la couverture. La question se tranche avant l’achat, en vérifiant quels contrats un émetteur désigne officiellement comme les siens.

Upbit suspend les dépôts et les retraits d’INIT

Les plateformes réagissent à un arrêt de réseau par une mesure de protection propre. La plateforme sud-coréenne Upbit a suspendu les dépôts et les retraits d’INIT. C’est techniquement inévitable : tant qu’une blockchain ne confirme pas de nouveaux blocs, une plateforme ne peut ni créditer de façon fiable un virement entrant ni exécuter un virement sortant. Dans cette situation, une suspension protège les deux parties d’écritures qui ne pourraient pas être attribuées ensuite.

Il en découle pour les détenteurs une distinction nette, souvent perdue de vue dans ces moments. La négociation sur une plateforme passe par son livre interne et n’a pas besoin de la blockchain. Les dépôts et les retraits en ont absolument besoin. Qui détient des INIT sur une plateforme peut donc parfois continuer à négocier, mais pas à retirer. Qui conserve lui-même ses jetons garde la maîtrise complète des clés et n’a pourtant aucun accès tant que la blockchain est immobile. Quelles plateformes sont accessibles sous agrément en Allemagne et comment elles se comportent en cas d’incident, nous l’avons détaillé dans le comparatif des plateformes crypto.

Le cours de l’INIT monte pendant que la blockchain est à l’arrêt

L’évolution du cours contredit la première intuition. Selon CoinGecko, l’INIT s’établissait le 24 octobre 2026 à 0,152482 dollar, soit 0,136096 euro, en hausse de 14,43 % sur vingt-quatre heures. Sur une semaine, le jeton gagne 22,31 %, et 68,37 % sur trente jours. Dans la journée, l’amplitude est allée de 0,114082 dollar au plus bas à 0,156281 dollar au plus haut. La capitalisation atteint environ 32,16 millions de dollars, ce qui place l’INIT au rang 618. En circulation se trouvent 210 794 785 jetons sur un milliard au total. Le cours est à 89,29 % de son sommet de 1,42 dollar du 13 mai 2025.

Deux raisons portent ce mouvement. D’abord, selon la présentation du cofondateur, le jeton du projet n’était pas lui-même émissible ; la perte a donc frappé des jetons étrangers représentés sur Initia. Ensuite, la négociation s’est poursuivie sur les plateformes, où la blockchain ne joue aucun rôle dans le prix. On ne peut pourtant en tirer aucun signal rassurant : dans cette phase, le cours valorise surtout l’attente d’un redémarrage réussi. S’il échoue ou s’il traîne, cette base change. Les deux niveaux du jour, à 0,114082 et 0,156281 dollar, sont les points où cette attente s’est retournée en dernier lieu.

Audits et investisseurs ne sont pas une promesse de protection

Initia a lancé son réseau principal en 2025 et l’offre totale s’élève à un milliard d’INIT. Selon Crypto Briefing, le projet a levé quelque 24 millions de dollars auprès d’investisseurs, dont Binance Labs et Delphi Digital, et a passé plusieurs examens de sécurité. Une erreur de configuration antérieure sur les récompenses de staking de l’INIT n’était, selon cette présentation, pas un exploit et a été corrigée en 2025 par la gouvernance du projet.

Cet antécédent n’est pas un détail, mais la véritable leçon pour le choix des projets. Plusieurs audits réussis et des investisseurs connus n’ont pas empêché un défaut qui, selon le cofondateur, se trouvait dans le code depuis l’origine. Un audit vérifie un état donné du code face à des schémas d’erreur connus, et une combinaison nouvelle de deux briques, ici un environnement Move sur une boîte à outils Cosmos, produit des schémas d’erreur que personne n’a encore cherchés sous cette forme. Qui place de l’argent sur de jeunes blockchains devrait donc lire les audits comme un indice de sérieux et non comme une garantie.

Délai de détention et fiscalité : un arrêt de réseau n’est pas une vente

Sur le plan fiscal, un réseau arrêté ne change pour l’instant rien à votre situation. En Allemagne, les gains tirés de la vente ou de l’échange de crypto-actifs comptent comme une cession privée au sens de l’article 23 de la loi sur l’impôt sur le revenu. Ce qui compte là, c’est une opération par laquelle vous cédez quelque chose et recevez autre chose. Un arrêt de réseau n’est ni une vente ni un échange : on ne vous retire rien, c’est simplement immobile. Le délai d’un an continue de courir normalement pendant ce temps, et une perte ne naît fiscalement que d’une vente effective, non du seul recul d’un cours ou d’un accès interrompu.

En pratique : qui approche de la fin du délai d’un an ne perd aucun temps d’attente du fait de l’immobilisation. Qui envisage en revanche de vendre après un redémarrage devrait connaître la date d’acquisition et l’échéance avant d’agir. Pour documenter ces cas, où des crédits n’arrivent pas et où les avoirs sont répartis sur plusieurs plateformes, des relevés propres sont décisifs : date d’acquisition, quantité et lieu de conservation se notent position par position. Cet article ne remplace pas un conseil fiscal, et pour des montants importants, une question à un cabinet vaut la peine.

La conservation à l’épreuve : où se trouvent réellement vos jetons

Cet incident sépare deux risques souvent mis dans le même sac. Le premier est la perte des clés, par hameçonnage ou par un portefeuille compromis. Un portefeuille matériel y répond, car la clé ne quitte pas l’appareil ; les différences entre les appareils, nous les avons mises côte à côte dans le comparatif des portefeuilles matériels. Le second est un défaut dans le protocole lui-même. Aucun portefeuille n’y répond, car l’erreur n’est pas chez vous mais dans la blockchain où votre avoir est inscrit. Les deux risques appellent des réponses différentes.

Contre le second, la répartition aide surtout. Qui répartit son patrimoine sur plusieurs blockchains et plusieurs lieux de conservation perd l’accès à une partie lors d’une immobilisation, et non à tout. Cela suppose aussi de décider sciemment quelle part se trouve sur de jeunes blockchains à l’historique court. Un autre point concerne les jetons représentés : si une petite blockchain porte une version d’un stablecoin connu, il faut éclaircir qui l’émet et qui répond de la couverture en cas d’incident. La réponse d’Agora dans cette affaire montre que la question n’est pas théorique.

La suite chez Initia et les signes auxquels reconnaître les progrès

Un redémarrage après un tel incident demande plus que de relancer les serveurs. Les opérateurs des validateurs, c’est-à-dire les machines qui confirment les blocs, doivent s’entendre sur une version corrigée du logiciel et sur l’état à partir duquel le travail reprend. C’est seulement après que l’on peut juger quelles écritures subsistent. Au moment de cet article, Initia n’a annoncé aucune date pour cela et n’a pas confirmé définitivement le préjudice total.

Trois indications montrent les progrès plus sûrement que n’importe quelle annonce. La première est la hauteur de bloc : si elle dépasse le niveau de 23365925, la blockchain confirme de nouveau des blocs. La deuxième, ce sont les pages d’état des plateformes : si une plateforme lève la suspension des dépôts et des retraits, elle fait de nouveau confiance aux confirmations. La troisième est la publication d’un rapport d’analyse qui nomme le défaut et la façon dont il a été corrigé. Si ce rapport manque durablement, c’est en soi une information. D’ici là, les nouveaux dépôts sur cette blockchain méritent la même prudence qu’un jeton retiré de la négociation : attendre que la sortie soit manifestement rouverte.

Arrêt du réseau Initia : sans redémarrage, chaque avoir reste immobile

L’état au 24 octobre 2026 : la blockchain est immobile depuis le 23 octobre, 15:41:30 UTC, à la hauteur de bloc 23365925. Selon les indications disponibles, 2,6 à 2,7 millions de dollars ont été retirés. Il en découle trois étapes.

1. Établir l’avoir et son lieu. Déterminez si vos jetons se trouvent sur la blockchain d’Initia elle-même ou sur une plateforme. Sur une plateforme, la négociation reste souvent possible, le retrait non. Quelles places conviennent aux investisseurs en Allemagne, le comparatif des plateformes crypto le montre.
2. Revoir la conservation et la répartition. Séparez le risque de clé du risque de protocole et répartissez vos avoirs sur plusieurs blockchains et plusieurs lieux de conservation. Pour le volet matériel, le comparatif des portefeuilles matériels aide.
3. Sécuriser échéances et justificatifs. Conservez les dates d’acquisition, car le délai de détention continue de courir et une immobilisation n’est pas une vente. Les outils pour cela figurent dans le comparatif des logiciels fiscaux et des suiveurs de portefeuille.

(Au 24 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)

Sources : Bitcoin.com News sur l’arrêt du réseau et les prises de position et Crypto Briefing sur le déroulement de l’incident.