Initia detiene su red de blockchain tras un exploit con tokens

Una cadena de bloques que deja de producir bloques es la señal de alarma más ruidosa que puede dar un proyecto, y también la más difícil de fingir. Initia, una capa 1 diseñada para alojar rollups interconectados, detuvo su red principal y todos sus rollups a las 15:41:30 UTC del viernes 23 de octubre, y trece horas después seguía sin publicar una explicación técnica del exploit con tokens que la llevó a ese extremo.

El reloj permite reconstruir la secuencia. A las 15:27 UTC, el analista on-chain Spreek avisó de que la cadena estaba siendo atacada y de que el atacante había retirado unos 2,6 millones de dólares. Catorce minutos más tarde, la red se apagó. El cofundador Ezaan Mangalji, conocido como Zon, atribuyó el origen a un error de «día cero» en la implementación de MoveVM sobre Cosmos SDK y cifró en unos 2,7 millones lo acuñado y puenteado fuera antes de la pausa.

La cantidad es modesta para el estándar de 2026, porque el valor bloqueado en la cadena rondaba los 5,7 millones de dólares el día del corte: el atacante se llevó cerca de la mitad de lo que había dentro. Lo relevante es la respuesta. Un fallo en código compartido permitió imprimir activos, el dinero real salió por un puente y la única herramienta disponible para frenarlo fue apagar una capa 1 completa con todas sus aplicaciones encadenadas.

El interruptor se accionó en catorce minutos

El mensaje que Initia publicó en su cuenta oficial llegó a las 16:00 UTC, dieciocho minutos después del corte, y no explicaba nada: «la L1 y los rollups de Initia han sido detenidos por un incidente de seguridad». El equipo pedía desconfiar de enlaces no oficiales.

El último bloque de la red principal, el 23.365.925, conserva la marca de las 15:41:30 UTC. Los exchanges se movieron antes de que existiera una cifra oficial: Upbit suspendió depósitos y retiradas de INIT a las 15:57 UTC.

Coinone y Bithumb replicaron la medida en la madrugada del sábado en Seúl, y KuCoin cerró depósitos y retiradas a las 08:40 del día 24 con la fórmula «mantenimiento esencial». Coinone añadió que estudia incluir INIT entre los activos de atención, una etiqueta que puede terminar en la retirada del soporte.

Quién aprieta ese interruptor es la pregunta que Initia no respondió. En una capa 1, la producción de bloques la sostienen los validadores, y detenerla exige que una mayoría deje de firmar. El comunicado no dice cuántos participaron ni si hubo una votación de gobernanza detrás. Tampoco aclara si la decisión la tomó el equipo con el visto bueno de los operadores o si estos la ejecutaron por su cuenta.

Un token sin respaldo y un adaptador que no pregunta

La reconstrucción de las transacciones que publicó la plataforma D2 Finance encaja con la versión del cofundador y deja una secuencia de siete minutos y veintiún segundos, el tiempo que tardó el dinero en llegar a Ethereum.

• 14:59:26 UTC, una transacción acuña dos millones de unidades de la representación de AUSD en Initia.
• 15:01:59 UTC, el adaptador del puente en Ethereum libera 1,4 millones de AUSD reales.
• 15:06:47 UTC, salen 105 ETH por la misma vía.
• 15:27 UTC, el analista Spreek publica la alerta.
• 15:41:30 UTC, Initia detiene la red principal y todos los rollups.

El mecanismo no necesita que el puente esté roto. El atacante creó unidades de la representación de AUSD que el adaptador de LayerZero custodia en Ethereum, las quemó y devolvió el mensaje de vuelta, y el contrato liberó el colateral bloqueado porque su trabajo consiste en comprobar que la quema ocurrió, no que los tokens quemados tuvieran respaldo detrás. D2 Finance lo resumió con una frase seca: «un adaptador OFT no puede comprobar si los tokens quemados estaban respaldados alguna vez».

Un error tras otro

El reparto del botín indica dónde cayó el daño. El adaptador de AUSD perdió el 71% de su saldo y se quedó en 576.000 unidades, el de ETH nativo perdió el 96% y retuvo 4,84 ETH, y 1,08 millones de USDC llegaron a Ethereum como emisiones nuevas a través de Circle CCTP, en una secuencia que la cobertura del incidente reconstruyó transacción a transacción. El AUSD se cambió por ETH en 1inch en 84 segundos.

Agora, la emisora de AUSD, escribió que no tiene contratos desplegados en Initia y que AUSD «no existe» en esa cadena, y congeló la dirección del atacante a las 16:31 UTC, noventa minutos después de que el AUSD ya se hubiera convertido en ETH. Su aclaración es correcta y no cambia el balance: el suministro de AUSD no se infló, pero el colateral que respaldaba la versión puenteada sí desapareció.

¿Quién paga cuando la cadena se apaga?

Una parada no borra fondos: los congela en el último bloque. Mientras duró, nadie pudo transferir, hacer staking, puentear ni liquidar posiciones en Initia, y los tokens guardados en exchanges quedaron atrapados entre una red detenida y una plataforma que solo mueve saldos internos.

El valor bloqueado en la red, que DefiLlama situaba en 5,7 millones de dólares horas antes del corte, superaba con holgura el botín. La parada inmovilizó más capital del que el atacante llegó a mover y dejó a los usuarios sin poder cerrar posiciones mientras siga sin haber reinicio.

La coordinación entre operadores no es un problema exclusivo de Initia. Cuando Solana cambió su consenso el 21 de octubre con Alpenglow, la actualización obligó a los validadores a cambiar de cliente para sostener una finalidad de 150 milisegundos, un recordatorio de que la liveness de una red depende de decisiones operativas que rara vez pasan por una votación de tenedores.

El capital que vive en estos sistemas asume que los bloques siguen llegando. Los 175 millones que Morpho levantó para el lending on-chain financian mercados donde un préstamo se liquida cuando el precio cruza un umbral; si la cadena se detiene, el precio deja de actualizarse, la liquidación no ocurre y el riesgo se acumula para el momento del reinicio.

El fallo estaba, además, en la pieza que Initia comparte con todo lo demás. MoveVM es el entorno de ejecución que da servicio a la capa 1 y a los rollups, así que un solo error en su lógica de acuñación alcanzó a la vez a aplicaciones que no tenían relación con stablecoins ni con puentes.

Lo que sigue sin respuesta

Initia no ha publicado el módulo exacto que falló, ni la lista de rollups con fondos afectados, ni el total acuñado, ni una fecha de reinicio. Las dos cifras en circulación, 2,6 y 2,7 millones, proceden de observaciones distintas y no deben sumarse: D2 Finance advirtió que su primer recuento de 2,65 millones y el saldo posterior de 1.135,52 ETH en una cartera nueva miden momentos diferentes de la misma operación.

El monitor de estado del proyecto mostraba el 24 de octubre a las 04:24 UTC todos sus servicios de API operativos en el panel público de estado. Ese dato mide disponibilidad de API y no producción de bloques: un nodo responde consultas del último bloque aunque no llegue ninguno nuevo.

Zon sí descartó la consecuencia más grave para el activo que se negocia en los exchanges: el fallo «no aplica a los tokens INIT nativos», de modo que la inflación no tocó el suministro de INIT. La pregunta abierta es qué hará la gobernanza con los saldos del atacante si alguno sigue dentro de la red cuando vuelva a producir bloques.

El freno de mano tampoco sale gratis

Una red que se apaga en catorce minutos tiene un mecanismo de seguridad que muchas cadenas mayores no se atreven a publicitar, y una dependencia que contradice el relato habitual del sector. La parada evitó más acuñaciones y dio tiempo a los exchanges para bloquear depósitos, pero el coste lo pagaron los usuarios de rollups que no fallaron, los mercados que no pudieron liquidar y cualquiera que necesitara mover fondos ese viernes por la tarde.

Con 2,6 millones de dólares sobre la mesa, detener todo era defendible. La próxima decisión también lo será o no, y no dependerá del código: dependerá de si el reinicio reescribe estado, de si el informe final culpa a un contrato concreto o a MoveVM entero, y de si alguien compensa a los afectados. Por ahora, Initia es una capa 1 que demostró tener freno y todavía no ha demostrado tener taller.