Piratage d’Initia : une clé cloud compromise coûte 3,27 millions de dollars et paralyse la blockchain

La blockchain de couche 1 Initia a été attaquée pour la deuxième fois en trois semaines. Cette fois, la faille ne se trouvait pas dans le code de la blockchain mais dans l’infrastructure cloud du projet : grâce à une clé Google Cloud compromise, un attaquant a pénétré les systèmes internes et validé des retraits falsifiés depuis cinq rollups. Selon Initia, environ 3,27 millions de dollars ont ainsi été déplacés, dont quelque 2,16 millions restent gelés sur la blockchain à l’arrêt. Le réseau est immobilisé depuis le mardi 10 novembre.

Les détenteurs d’INIT ou de jetons sur l’un des rollups d’Initia ne peuvent pour l’instant rien déplacer sur la chaîne. Pour les investisseurs, l’essentiel est désormais de savoir où se trouvent leurs propres cryptos, quelles communications sont authentiques et comment se protéger des faux sites de remboursement qui apparaissent systématiquement après ce type d’incident.

Piratage d’Initia : ce qui s’est passé les 9 et 10 novembre

Le déroulé peut être reconstitué à partir des communications du projet et d’un article de Cointelegraph du 11 novembre. Le lundi 9 novembre, l’attaquant a obtenu un accès à l’infrastructure d’Initia. Le projet a lui-même écrit le 10 novembre sur X (compte @initia) qu’un attaquant s’était, le 9 novembre, « introduit sans autorisation dans l’infrastructure d’Initia au moyen d’une attaque par injection de commandes ».

Le mardi, les validateurs ont suspendu la production de blocs de la blockchain de couche 1. Cet arrêt a permis de retenir une partie du butin, car personne ne peut transférer des actifs sur une blockchain à l’arrêt, pas même l’attaquant. Le mercredi, Initia a confirmé le montant plus élevé de 3,27 millions de dollars. Les premières estimations du mardi étaient nettement inférieures, car seules les sorties ayant déjà quitté la blockchain étaient visibles.

Qui est touché

Les cibles directes sont les comptes séquestres de cinq rollups. Un compte séquestre (escrow) est un compte de dépôt sur la blockchain qui conserve la contrepartie des jetons circulant entre deux réseaux. Si quelqu’un vide un tel compte, les jetons de l’autre côté perdent leur couverture. Initia souligne qu’aucun jeton INIT n’a été retiré ; les actifs concernés sont des actifs transférés comme l’USDC et le TIA.

Injection de commandes et clé Google Cloud : le mode opératoire

L’injection de commandes désigne une attaque dans laquelle un système exécute des instructions qu’un attaquant a glissées dans une saisie. Dans le cas d’Initia, selon Cointelegraph, l’attaque s’est appuyée sur une clé compromise de Google Cloud Platform. D’après la version d’Initia, rapportée notamment par CoinCentral, cette clé servait en principe à la mise en place de nœuds privés.

Grâce à cet accès, l’attaquant a atteint des variables d’environnement. Il s’agit de valeurs de configuration dans lesquelles les logiciels stockent souvent mots de passe et clés d’accès. Elles lui ont ouvert les comptes GitHub et cloud d’Initia ainsi que d’autres identifiants. Au bout de la chaîne : l’accès à Anvil, la plateforme sur laquelle tournent les rollups du réseau.

Un rollup est une blockchain distincte qui regroupe des transactions et s’adosse, pour sa sécurité, à une blockchain principale, ici le réseau Initia. Qui contrôle l’infrastructure d’un rollup peut valider des opérations qui n’auraient jamais dû avoir lieu. C’est exactement ce qui s’est produit : l’attaquant a validé des retraits IBC falsifiés depuis cinq rollups.

IBC signifie Inter-Blockchain Communication, le protocole de transfert de l’écosystème Cosmos qui permet de faire circuler des jetons entre blockchains indépendantes. Un retrait IBC libère des actifs d’un compte séquestre dès que l’autre partie confirme le transfert. Si c’est l’attaquant qui confirme, l’argent sort sans véritable contrepartie.

3,27 millions de dollars sur cinq rollups : le bilan chiffré

L’attaquant a vendu une partie des actifs libérés sur la plateforme décentralisée d’Initia et, selon Cointelegraph, retiré 13 400 TIA, 8 000 USDC.inj et 597 000 Noble USDC. Le TIA est le jeton du réseau Celestia ; l’USDC.inj et le Noble USDC sont des déclinaisons du stablecoin USDC sur les blockchains Injective et Noble.

Sur un total d’environ 3,27 millions de dollars, quelque 2,16 millions restent gelés sur le réseau à l’arrêt, selon Initia. Arithmétiquement, un peu plus d’un million de dollars a donc réellement quitté l’écosystème Initia. La possibilité de sécuriser intégralement les valeurs gelées dépendra du déroulement du redémarrage du réseau.

Ces chiffres émanent pour l’heure du seul projet ; aucun rapport indépendant d’une société de sécurité n’a encore été publié. Initia affirme collaborer avec les autorités judiciaires et des partenaires de sécurité, sans toutefois les nommer.

Deuxième exploit en trois semaines : la différence avec la faille MoveVM du 23 octobre

Cette attaque est déjà le deuxième incident chez Initia en peu de temps. Le 23 octobre, un attaquant avait exploité une faille dans le cache de scripts de la MoveVM, la machine virtuelle dans laquelle s’exécutent les smart contracts d’Initia. Des soldes de jetons sans contrepartie avaient alors été créés et, selon Cointelegraph, environ 2,7 millions de dollars avaient été retirés. Nous avons décrit ce premier cas dans notre article sur l’arrêt du réseau après l’infinite mint.

Sur le plan technique, les deux incidents ont peu en commun. En octobre, la faille se trouvait dans le protocole, c’est-à-dire dans un code que chacun peut examiner publiquement. En novembre, la faiblesse se situait dans l’environnement d’exploitation : comptes cloud, clés d’accès et outils internes. Pour les détenteurs, le résultat est pourtant comparable, puisque le réseau a dû être arrêté dans les deux cas. Initia n’a pas indiqué si le même attaquant est à l’origine des deux affaires.

Pourquoi deux incidents pèsent plus lourd qu’un seul

Un exploit isolé peut frapper n’importe quel jeune réseau. Deux incidents en trois semaines, dans deux couches différentes, soulèvent en revanche des questions sur les processus internes : comment les clés sont-elles gérées, qui a accès aux systèmes de production et à quelle vitesse l’équipe repère-t-elle des retraits inhabituels ? Seul un examen détaillé, qu’Initia n’a pas encore publié, apportera des réponses.

Cours de l’INIT après le piratage : +102 % en sept jours

La réaction du marché est inhabituelle. Selon CoinGecko, l’INIT s’échangeait mercredi matin autour de 0,26 dollar, soit environ 0,23 euro. C’est un peu plus de 20 % de plus que 24 heures auparavant et environ 102 % de plus qu’il y a une semaine. La capitalisation boursière avoisinait 57 millions de dollars. Malgré ce bond, le cours reste très éloigné de son record de 1,42 dollar atteint en mai 2025.

Ni le projet ni la presse spécialisée n’avancent de raison étayée à cette hausse. Après un piratage, les mouvements de cours des jetons à faible capitalisation proviennent souvent du rachat de positions vendeuses ou de paris à court terme sur un rebond. Il s’agit d’une appréciation, non d’une preuve. Pour les investisseurs, cela signifie surtout qu’un tel bond ne marque pas la fin de l’incident.

Selon CoinGecko, l’INIT se négocie notamment sur Binance, Kraken, Bitvavo, Bybit et Bitget. Tant que la blockchain est à l’arrêt, les dépôts et retraits d’INIT sur les plateformes dépendent de la manière dont chacune gère la situation. La page de statut de votre plateforme indique l’état actuel. Si vous souhaitez négocier de l’INIT, faites-le sur une plateforme agréée au titre de MiCA ; notre comparatif des plateformes crypto réglementées en donne un aperçu.

Arrêt du réseau et couverture : ce qu’Initia promet pour les jetons touchés

Initia a annoncé vouloir rétablir la couverture des actifs concernés. Concrètement, les jetons des rollups doivent de nouveau être intégralement adossés à des contreparties dans les comptes séquestres. Les modalités, par exemple sur fonds propres du projet ou grâce à des sommes récupérées, ne sont pas connues. Les communications publiées jusqu’ici ne donnent aucune date de redémarrage du réseau.

D’ici là, les détenteurs de jetons sur la blockchain Initia ou l’un de ses rollups ne peuvent pas les déplacer, pas même pour les mettre à l’abri. C’est contraignant, mais cela empêche aussi l’attaquant de faire circuler les 2,16 millions de dollars gelés. Les détenteurs d’INIT sur une plateforme centralisée ne sont en revanche touchés qu’indirectement par l’arrêt : les échanges sur la plateforme peuvent se poursuivre, mais pas les dépôts et retraits vers le réseau.

Comment vous protéger des faux sites de remboursement après le piratage d’Initia

Ce qui s’est passé : le 9 novembre, un attaquant s’est introduit dans l’infrastructure d’Initia au moyen d’une clé Google Cloud compromise et a validé des retraits IBC falsifiés depuis cinq rollups. Selon Initia, environ 3,27 millions de dollars ont été déplacés, dont quelque 2,16 millions restent gelés sur le réseau, arrêté depuis le 10 novembre (au 11 novembre).

Êtes-vous concerné ? Peuvent être concernés les détenteurs de jetons sur la blockchain Initia ou ses rollups, en particulier d’actifs transférés comme l’USDC ou le TIA. Si vous ne détenez de l’INIT que sur une plateforme, vous n’êtes pas directement touché, mais vous ne pouvez pas retirer d’INIT vers le réseau avant le redémarrage. Initia n’a pas encore précisé publiquement quels sont les cinq rollups touchés ; suivez donc les communications du projet sur ses canaux officiels.

1. Uniquement les canaux officiels : consultez les nouvelles sur le redémarrage exclusivement sur le site d’Initia, enregistré dans vos favoris, et sur son compte X vérifié, jamais via des liens tirés de messageries ou de réponses sous des publications.
2. Aucun formulaire de remboursement : ne remplissez aucun formulaire « claim » ou « refund » vous demandant de connecter votre portefeuille tant qu’Initia n’a pas annoncé lui-même une procédure.
3. Faire le ménage dans les autorisations : vérifiez avec un outil comme Revoke.cash quelles autorisations de jetons votre portefeuille a accordées aux applications et passerelles d’Initia, et révoquez toutes celles dont vous n’avez plus besoin.
4. Ne forcez aucun transfert : n’essayez pas de sortir des jetons du réseau à l’arrêt par des passerelles ou services non officiels ; ceux qui proposent cela visent généralement votre phrase de récupération.
5. Séparer vos avoirs : conservez les montants importants sur un portefeuille matériel et utilisez, pour vos essais sur de jeunes réseaux, un portefeuille distinct doté d’un faible solde, afin qu’un incident n’atteigne jamais l’ensemble de votre patrimoine.

Notre guide conserver ses cryptos en sécurité explique les bases d’une conservation sûre, et le comparatif des portefeuilles matériels présente les appareils adaptés.

Les clés cloud, porte d’entrée : pourquoi l’infrastructure devient un risque pour les blockchains

Le cas Initia s’inscrit dans une série d’attaques où le smart contract reste intact tandis que son environnement cède. Cette semaine encore, la passerelle Across a signalé un détournement de nom de domaine qui renvoyait les utilisateurs vers une page piégée. Chez Initia, c’était une clé cloud. Dans les deux cas, un audit du code n’aurait pas suffi.

Pour les investisseurs, le constat est inconfortable. Un label d’audit renseigne sur le code examiné, mais rien sur la manière dont une équipe gère ses mots de passe, ses clés et ses serveurs. Les jeunes réseaux dotés de leurs propres rollups exploitent en particulier une grande partie de leur infrastructure eux-mêmes, et chaque composant constitue un point d’attaque potentiel. Plus un système compte d’éléments, plus il existe de clés susceptibles d’être perdues.

La transparence d’un projet après un incident est donc un indice de professionnalisme. Initia a décrit le mode opératoire relativement tôt. Un examen complet, avec chronologie et contre-mesures, reste toutefois attendu, et c’est à cette aune que le projet devra être jugé.

Piratage d’Initia : sans date de redémarrage, le réseau reste gelé

Tant qu’Initia ne fixe pas de date de redémarrage, les jetons présents sur le réseau restent bloqués et toute annonce de remboursement doit être accueillie avec prudence. Trois mesures s’imposent dès maintenant :

1. Pour acheter ou vendre de l’INIT, passez par une plateforme agréée dans l’UE ; le comparatif des plateformes crypto réglementées indique quels prestataires disposent d’une licence MiCA.
2. Les avoirs importants sont mieux protégés sur votre propre portefeuille matériel que sur de jeunes réseaux ; vous trouverez des appareils adaptés dans le comparatif des portefeuilles matériels.
3. Pour vos essais en DeFi, un portefeuille distinct doté d’un faible solde convient ; le comparatif des wallets logiciels présente les applications adaptées.

(Au 11 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)