Una compromissione di chiave privata ha dato a un attaccante accesso non autorizzato al token safe di IoTeX il 21 febbraio, svuotando asset per un valore stimato di 8 milioni di dollari o più prima che i fondi venissero convertiti in Ethereum e instradati verso Bitcoin (BTC) tramite THORChain.
Il team IoTeX ha confermato la violazione ma ha contestato le cifre sui danni che circolano sul mercato, affermando che le perdite effettive sono inferiori a quanto riportato.
IOTX, il token nativo di IoTeX, è sceso di circa il 9–10% alla notizia, con il volume di scambio in forte aumento di oltre il 500% in 24 ore.
Cosa è successo
La società di sicurezza blockchain PeckShield ha confermato l’exploit su X, affermando che l’hacker ha ottenuto il pieno controllo del token safe tramite una chiave privata compromessa ed ha estratto molteplici asset tra cui USDC, USDT, IOTX, WBTC, PAYG e BUSD.
L’attaccante ha poi scambiato i token rubati per ETH e ha trasferito tramite bridge circa 45 ETH verso indirizzi Bitcoin utilizzando THORChain - un protocollo di instradamento cross-chain privo di un meccanismo di blocco centralizzato.
Oltre al drenaggio iniziale, l’attaccante avrebbe sfruttato lo stesso accesso compromesso per mintare 111 milioni di token CIOTX, spingendo i danni totali stimati verso 8,8–9 milioni di dollari complessivi. Tre indirizzi di wallet dell’attaccante sono stati identificati pubblicamente da analisti on-chain.
La risposta di IoTeX
IoTeX ha riconosciuto pubblicamente la violazione intorno alle 10:30 UTC del 21 febbraio.
Il team ha dichiarato di aver coordinato con i principali exchange di criptovalute e partner di sicurezza per tracciare e bloccare, dove possibile, gli asset dell’hacker, descrivendo la situazione come “sotto controllo”.
Il progetto non ha divulgato una cifra di perdita confermata, affermando solo che le stime iniziali sono “notevolmente inferiori alle voci che circolano”.
Leggi anche: Italian Tax Police Crack €500K Crypto Evasion Ring - Blockchain Was The Witness
Perché è importante
Le prospettive di recupero sono complicate dall’uso di THORChain da parte dell’attaccante, che elabora swap cross-chain senza custodi e non può essere congelato da entità centralizzate. Una volta che i fondi raggiungono indirizzi Bitcoin tramite tale percorso, la tracciabilità on-chain si restringe notevolmente.
La violazione di IoTeX si inserisce in un quadro più ampio. CrossCurve ha perso 3 milioni di dollari in un altro exploit su bridge solo tre settimane prima e, a gennaio 2026, si sono registrati quasi 400 milioni di dollari di furti in criptovalute a livello di settore, secondo i dati di monitoraggio della sicurezza disponibili.
Le compromissioni di chiavi private – più che i bug negli smart contract – stanno diventando sempre più il vettore d’attacco preferito, aggirando completamente il codice sottoposto ad audit e puntando invece sulla sicurezza operativa.
Leggi anche: Ripple CEO Puts 90% Odds On Crypto's Most Consequential U.S. Bill Passing By April