Una compromissione di chiave privata ha dato a un attaccante accesso non autorizzato al token safe di IoTeX il 21 febbraio, svuotando asset per un valore stimato di 8 milioni di dollari o più prima che i fondi fossero convertiti in Ethereum e instradati verso Bitcoin (BTC) tramite THORChain.
Il team IoTeX ha confermato la violazione ma ha contestato le cifre dei danni che circolano sul mercato, affermando che le perdite effettive sono inferiori a quanto riportato.
IOTX, il token nativo di IoTeX, è sceso di circa il 9–10% alla notizia, con il volume di scambio in forte aumento di oltre il 500% in 24 ore.
Cosa è successo
La società di sicurezza blockchain PeckShield ha confermato l’exploit su X, dichiarando che l’hacker ha ottenuto il pieno controllo del token safe tramite una chiave privata compromessa ed ha estratto molteplici asset, tra cui USDC, USDT, IOTX, WBTC, PAYG e BUSD.
L’attaccante ha poi scambiato i token rubati per ETH e ha trasferito in bridge circa 45 ETH verso indirizzi Bitcoin utilizzando THORChain, un protocollo di routing cross-chain privo di meccanismi centralizzati di congelamento.
Oltre allo svuotamento iniziale, l’attaccante avrebbe sfruttato il medesimo accesso compromesso per mintare 111 milioni di token CIOTX, portando il danno stimato complessivo verso gli 8,8–9 milioni di dollari su tutti i vettori. Tre indirizzi di wallet dell’attaccante sono stati identificati pubblicamente dagli analisti on-chain.
La risposta di IoTeX
IoTeX ha riconosciuto pubblicamente la violazione intorno alle 10:30 UTC del 21 febbraio.
Il team ha dichiarato di essersi coordinato con i principali exchange di criptovalute e partner di sicurezza per tracciare e congelare, dove possibile, gli asset dell’hacker, descrivendo la situazione come “sotto controllo”.
Il progetto non ha divulgato una cifra di perdita confermata, affermando solo che le stime iniziali sono “significativamente inferiori alle voci che circolano”.
Leggi anche: Italian Tax Police Crack €500K Crypto Evasion Ring - Blockchain Was The Witness
Perché è importante
Le prospettive di recupero sono complicate dall’uso di THORChain da parte dell’attaccante, che elabora swap cross-chain senza custodi e non può essere congelato da entità centralizzate. Una volta che i fondi raggiungono indirizzi Bitcoin tramite questo percorso, la tracciabilità on-chain si riduce notevolmente.
La violazione di IoTeX si inserisce in un quadro più ampio. CrossCurve ha perso 3 milioni di dollari in un diverso exploit su un bridge solo tre settimane prima e, secondo i dati di tracciamento della sicurezza disponibili, a gennaio 2026 si sono registrati quasi 400 milioni di dollari di furti di criptovalute a livello di settore.
Le compromissioni di chiavi private – piuttosto che i bug degli smart contract – sono sempre più il vettore di attacco preferito, poiché aggirano completamente il codice sottoposto ad audit prendendo di mira la sicurezza operativa.
Leggi anche: Ripple CEO Puts 90% Odds On Crypto's Most Consequential U.S. Bill Passing By April