- 1. Una sola llamada a una función Move: así se acuñaron 2 millones de AUSD
- 2. Número a número: 71% del adaptador de AUSD y 96% del de ETH
- 3. Cadena parada, token en verde: la cuenta que no cuadra
- 4. Lo que el exploit sí revela: el puente como punto ciego
- 5. Lo que falta por confirmar y las próximas señales
Una sola transacción, 135.888 unidades de gas y ninguna llamada a un puente: así se acuñaron 2.000.000 de AUSD de la nada sobre Initia. Ciento cincuenta y tres segundos después, un mensaje válido de LayerZero liberaba 1,4 millones de AUSD reales desde el adaptador en Ethereum, y en siete minutos y veintiún segundos ya había 2,65 millones de dólares de vuelta en la red de Ethereum. El 23 de octubre a las 15:41:30 UTC, Initia detuvo su capa 1 y todos sus rollups.
As of Oct 23, 2026, 3:41:30 PM UTC, the Initia L1 and Rollups have been halted due to a security incident. Our team is actively investigating the situation and working to establish the full scope of any impact with security teams, validators, and exchanges. We will share verified information through our official channels as it becomes available. Please remain cautious of unofficial links, messages, or claims circulating during this time.
— Initia (@initia) October 23, 2026
El comunicado no confirma la cifra perdida. Esa la puso, primero, el investigador de seguridad Spreek: «Initia chain hacked and a bunch of tokens infiniminted. Hacker has cashed out $2.6m thus far with more in flight» (la cadena Initia fue hackeada y un montón de tokens se acuñaron infinitamente; el hacker ha retirado 2,6 millones de dólares hasta ahora, con más en camino). El cofundador de Initia, Ezaan Mangalji, conocido como Zon, precisó la causa minutos después.
«Hasta donde sabemos, es un bug de día 0 relacionado con la MoveVM de Initia sobre CosmosSDK que permitió al explotador acuñar tokens adicionales en la capa 1 de Initia, pero no se aplica a los tokens nativos INIT. El atacante pudo acuñar y puentear unos 2,7 millones de dólares en AUSD, ETH y USDC antes de que la cadena se pausara», escribió Zon en su cuenta de X.
Una sola llamada a una función Move: así se acuñaron 2 millones de AUSD
La plataforma de análisis D2 Finance reconstruyó la secuencia completa en su desglose publicado en X. Una única transacción firmada a las 14:59:26 UTC acuñó 2.000.000 de AUSD de la nada. Fue la propia clave del atacante la que llamó a una función Move, con 135.888 de gas y sin que interviniera ningún mensaje de puente. «El token es un argumento (destinatario, token, cantidad), consistente con una sola wallet imprimiendo AUSD, USDC y ETH», detalla D2 Finance.
El hallazgo central de D2 está en la arquitectura del puente: «un adaptador OFT no puede comprobar si los tokens quemados estuvieron alguna vez respaldados: cada lockbox de Ethereum paga a la par por cualquier bug de acuñación en el lado de Initia». En otras palabras, el puente de LayerZero confiaba en que la quema registrada en Initia correspondía a tokens reales, y pagaba el equivalente en Ethereum sin verificar el respaldo. Entre la acuñación (14:59:26 UTC) y la pausa (15:41:30 UTC) pasaron 42 minutos y 4 segundos: esa fue la ventana que tuvo el atacante para liquidar antes de que la red se apagara.
Número a número: 71% del adaptador de AUSD y 96% del de ETH
El drenaje tuvo tres salidas, todas hacia la misma dirección (0xDD92…edFA):
- AUSD: 1,4 millones desde el adaptador OFT de AUSD, el 71% de su saldo; quedaron 576.000.
- ETH: 105 desde el adaptador OFT de ETH nativo, el 96% de su saldo; quedaron 4,84.
- USDC: 1,08 millones como acuñaciones nuevas desde 0x0, a través del CCTP de Circle.
El atacante convirtió cada stablecoin a ETH en menos de tres minutos tras aterrizar en Ethereum, y el AUSD en 84 segundos. Todo quedó consolidado en 1.135,52 ETH, unos 2,73 millones de dólares, en una wallet nueva (0x358e…CAC8). La preparación había empezado 6,5 horas antes de la acuñación: 0,1 ETH desde Tornado Cash a las 08:27 UTC, transferencias de polvo a través de Axelar y un depósito de 0,006 ETH en el mismo adaptador de ETH que vaciaría 29 minutos después.
La cifra de D2 Finance pone la escala en contexto. El DEX de Initia mantenía 3,50 millones de dólares de TVL y movió 334.000 dólares de volumen en 24 horas. El puente movió 8 veces esa cantidad para una sola wallet en siete minutos y veintiún segundos. D2 lo resume así: «en Initia, el fondo más profundo era el puente».
Cadena parada, token en verde: la cuenta que no cuadra
Aquí está la tensión que los datos no resuelven. La cadena lleva detenida desde las 15:41:30 UTC del 23 de octubre y, al cierre de este artículo, Initia no había anunciado fecha de reinicio. Sin embargo, el token nativo INIT cotizaba a 0,1383 dólares, un 3,7% por encima de su nivel de hace 24 horas, según CoinGecko, con un rango diario de 0,1141 a 0,1563 dólares. El mercado digirió el exploit con una caída momentánea y después la absorbió por completo.
La explicación está en lo que el bug no toca. El propio Zon subrayó que la falla «no se aplica a los tokens nativos INIT»: el atacante acuñó activos puenteados, no INIT. Y la emisora de AUSD, Agora, aclaró que su contrato «no está desplegado en Initia y no se acuñó AUSD en Initia»; el producto afectado era un espejo OFT de LayerZero operado por un tercero, y «el suministro de Agora no ha cambiado».
Los derivados, además, operan a una escala que no se corresponde con el mercado al contado. El interés abierto en futuros perpetuos de INIT ascendía a 51,83 millones de dólares frente a una capitalización de mercado al contado de 29,16 millones, una ratio del 177,7%. Dicho de otro modo: hay casi 1,8 veces más capital en posiciones perpetuas que el valor total de los tokens en circulación. El precio que hoy marca el token lo está escribiendo, sobre todo, el libro de derivados, no el titular que retira su INIT de una red pausada.
Lo que el exploit sí revela: el puente como punto ciego
El incidente de Initia no es un fallo aislado de un contrato, sino una clase de bug ya vista. D2 Finance trazó el paralelismo con el exploit de Liquid del 6 de septiembre, cuando un bug de Elements creó 4.000 L-BTC y un peg-out válido pagó 3.996 BTC reales. El patrón es el mismo: una acuñación no autorizada en el lado emisor que el puente no puede distinguir de una acuñación legítima, y que se liquida a la par en la otra cadena.
Para los usuarios, la consecuencia inmediata es que los activos puenteados desde Initia (AUSD, ETH y USDC en sus versiones OFT) dependían de la solvencia del adaptador, no de la del activo subyacente. El bug también explica por qué la contención fue un apagado total: pausar solo el puente no habría bastado, porque la acuñación ocurría en la propia capa 1. El exploit del puente de Bitcoin que Symbiosis resolvió en septiembre terminó con una recompensa y recuperación de fondos, y el exploit de Hedera que puenteó 5,25 millones de dólares a Ethereum vía Tornado Cash mostró la misma ruta de salida que usó aquí el atacante.
Lo que falta por confirmar y las próximas señales
Initia todavía no ha publicado un post-mortem ni ha confirmado las cifras de Zon, Spreek o D2 Finance. El equipo prometió compartir «información verificada a través de sus canales oficiales», y advirtió contra «enlaces, mensajes o afirmaciones no oficiales» que circulan en estos momentos. La cifra de 2,6 millones de Spreek era una estimación temprana con «más en camino»; la de 2,7 millones de Zon es preliminar; y la de 2,73 millones de D2 Finance se basa en la wallet consolidada, no en una confirmación del proyecto.
Tres señales marcarán el desenlace. La primera es el post-mortem técnico: si el bug de la MoveVM se corrige con un parche y se confirma que no hubo más acuñaciones. La segunda es la fecha de reinicio, que determinará cuánto tiempo quedan congelados los fondos en Initia. Y la tercera, más inmediata, es la liberación programada de 13,64 millones de INIT (unos 1,89 millones de dólares, el 1,4% del suministro) prevista para el 24 de octubre: añadirá oferta al mismo libro de derivados que hoy sostiene el precio mientras la red sigue apagada.
Divulgación: este artículo no representa un consejo de inversión. El contenido y los materiales que aparecen en esta página tienen únicamente fines educativos.
