Como um bug na MoveVM deixou a Initia travada: US$ 2,7 milhões roubados e ninguém sabe quando volta

A blockchain Initia travou no dia 23 de outubro, às 15h41 UTC, sem volta anunciada. Um atacante explorou um bug presente desde o lançamento da rede para cunhar US$ 2,7 milhões em tokens do nada e sair com o dinheiro via pontes de liquidez antes que a equipe conseguisse reagir. Agora a rede está parada e ninguém sabe quando volta.

A Initia é uma blockchain de camada 1 construída sobre o Cosmos SDK que roda a MoveVM, a máquina virtual originalmente criada para a linguagem Move, usada também por redes como Aptos e Sui. A proposta da rede é funcionar como base para um ecossistema de rollups.

O que aconteceu

Segundo o co-fundador da Initia, Ezaan Mangalji, o problema foi identificado como um "Day 0 bug" (bug de dia zero) relacionado à implementação da MoveVM sobre o Cosmos SDK. Na prática, a falha de design permitia a um atacante mintar tokens sem respaldo algum na rede, um erro que existia desde o lançamento e só foi explorado meses depois.

Com a brecha aberta, o atacante cunhou e retirou da rede cerca de US$ 2,7 milhões em AUSD, ETH e USDC, segundo Mangalji. Parte dos fundos saiu via ponte LayerZero, e novos USDC foram emitidos através do protocolo CCTP, da Circle, antes que a equipe conseguisse pausar a L1 e os rollups associados. O token nativo da rede, o INIT, não foi afetado pelo bug, segundo a Initia.

O efeito dominó no Noble e na Agora

O caso expôs quão interligada a Initia estava com outros protocolos do ecossistema Cosmos. A reserva de USDC mantida pela Noble, uma blockchain especializada em ativos de dólar que conecta liquidez a redes como a Initia, tinha cerca de US$ 1,09 milhão antes do incidente. Durante o ataque, esse saldo despencou para apenas US$ 63.

Já a Agora, emissora da stablecoin AUSD mintada ilegalmente durante o exploit, veio a público para se distanciar do problema. A empresa afirmou que não tem contratos inteligentes implantados na Initia e que, por isso, a AUSD "não existe" na rede: o que circulava ali era uma representação via ponte, não a moeda original emitida e integralmente respaldada pela Agora.

Por que isso importa

O episódio segue um padrão que vem se repetindo em 2026 entre redes baseadas no Cosmos SDK que adotaram a MoveVM: falhas de design presentes desde o lançamento só aparecem quando alguém as encontra e explora, às vezes meses depois. A resposta padrão das equipes continua sendo pausar a rede inteira sem prazo definido para retomada, um custo direto para quem tem capital travado.

O caso também evidencia um risco de concentração: protocolos como Noble e Agora, que fornecem liquidez em dólar para múltiplas redes do ecossistema Cosmos, acabam expostos a falhas de segurança de redes parceiras mais novas, mesmo sem ter contratos próprios implantados nelas.

O que acompanhar agora

Próximos passos oficiais:

• Comunicado de retomada da Initia (sem data anunciada)
• Relatório técnico sobre a extensão das perdas e culpados
• Atualizações de Noble e Agora sobre exposição e medidas mitigadoras

Indicadores a monitorar:

• Validadores da Initia no Twitter/X
• Documentação de segurança da MoveVM (outras redes que a usam podem estar em risco)
• Impacto em outros protocolos Cosmos que dependem de liquidez de Noble/Agora
• Comunicados de corretoras sobre retomada de saque/depósito

Até a publicação das fontes, não havia data anunciada para a retomada da rede. Este texto não constitui recomendação de investimento.