Une compromission de clé privée a donné à un attaquant un accès non autorisé au coffre-fort de tokens d’IoTeX le 21 février, vidant des actifs d’une valeur estimée à 8 millions de dollars ou plus avant que les fonds ne soient convertis en Ethereum et acheminés vers Bitcoin (BTC) via THORChain.
L’équipe IoTeX a confirmé la brèche mais a contesté les chiffres des pertes circulant sur le marché, affirmant que les pertes réelles sont inférieures à ce qui est rapporté.
IOTX, le token natif d’IoTeX, a chuté d’environ 9 à 10 % à l’annonce, tandis que le volume d’échange a bondi de plus de 500 % en 24 heures.
Ce qui s’est passé
La société de sécurité blockchain PeckShield a confirmé l’exploit sur X, indiquant que le pirate a obtenu le contrôle total du coffre-fort de tokens via une clé privée compromise et a extrait plusieurs actifs, y compris USDC, USDT, IOTX, WBTC, PAYG et BUSD.
L’attaquant a ensuite échangé les tokens volés contre de l’ETH et a transféré environ 45 ETH vers des adresses Bitcoin en utilisant THORChain – un protocole de routage cross-chain sans mécanisme centralisé de gel des fonds.
Au-delà du vidage initial, l’attaquant aurait exploité le même accès compromis pour minter 111 millions de tokens CIOTX, portant les dommages totaux estimés à environ 8,8 à 9 millions de dollars sur l’ensemble des vecteurs. Trois adresses de portefeuille de l’attaquant ont été rendues publiques par des analystes on-chain.
Réaction d’IoTeX
IoTeX a reconnu publiquement la brèche vers 10 h 30 UTC le 21 février.
L’équipe a déclaré s’être coordonnée avec les principales plateformes d’échange de cryptomonnaies et des partenaires de sécurité afin de tracer et geler les avoirs du pirate lorsque cela est possible, décrivant la situation comme étant « sous contrôle ».
Le projet n’a pas communiqué de chiffre de pertes confirmé, indiquant seulement que les premières estimations sont « significativement inférieures aux rumeurs qui circulent ».
Lire aussi : Italian Tax Police Crack €500K Crypto Evasion Ring - Blockchain Was The Witness
Pourquoi c’est important
Les perspectives de récupération sont compliquées par l’utilisation de THORChain par l’attaquant, qui traite les échanges cross-chain sans dépositaires et ne peut pas être gelé par des entités centralisées. Une fois les fonds arrivés sur des adresses Bitcoin par cette voie, la traçabilité on-chain devient beaucoup plus limitée.
La brèche IoTeX s’inscrit dans une tendance plus large. CrossCurve a perdu 3 millions de dollars dans un autre exploit de bridge seulement trois semaines plus tôt, et janvier 2026 a vu près de 400 millions de dollars de vols de cryptomonnaies au total dans le secteur, selon les données de suivi de la sécurité disponibles.
Les compromissions de clés privées – plutôt que les bugs de smart contracts – deviennent de plus en plus le vecteur d’attaque privilégié, contournant totalement le code audité en ciblant la sécurité opérationnelle.
Lire aussi : Ripple CEO Puts 90% Odds On Crypto's Most Consequential U.S. Bill Passing By April