Een gecompromitteerde privésleutel gaf een aanvaller ongeautoriseerde toegang tot de tokenkluis van IoTeX op 21 februari. Daarbij werden activa ter waarde van naar schatting $8 miljoen of meer leeggetrokken, voordat de fondsen werden omgezet naar Ethereum en via THORChain naar Bitcoin (BTC) werden gerouteerd.
Het IoTeX-team bevestigde de inbreuk, maar betwistte de schadebedragen die in de markt circuleerden en stelde dat de daadwerkelijke verliezen lager zijn dan gemeld.
IOTX, de native token van IoTeX, daalde ongeveer 9–10% na het nieuws, terwijl het handelsvolume binnen 24 uur met meer dan 500% toenam.
Wat er gebeurde
Blockchain-beveiligingsbedrijf PeckShield bevestigde de exploit op X en verklaarde dat de hacker volledige controle over de tokenkluis kreeg via een gecompromitteerde privésleutel en meerdere activa onttrok, waaronder USDC, USDT, IOTX, WBTC, PAYG en BUSD.
De aanvaller ruilde de gestolen tokens vervolgens om voor ETH en bridge ongeveer 45 ETH naar Bitcoin-adressen via THORChain - een cross-chain routingprotocol zonder gecentraliseerd bevriezingsmechanisme.
Naast de initiële leegtrekking zou de aanvaller dezelfde gecompromitteerde toegang hebben misbruikt om 111 miljoen CIOTX-tokens te minten, waardoor de totale geschatte schade richting $8,8 miljoen tot $9 miljoen ging over alle aanvalsvectoren heen. Drie walletadressen van de aanvaller zijn publiekelijk geïdentificeerd door on-chain analisten.
Reactie van IoTeX
IoTeX erkende de inbreuk publiekelijk rond 10:30 uur UTC op 21 februari.
Het team zei dat het had samengewerkt met grote cryptovalutabeurzen en beveiligingspartners om de activa van de hacker waar mogelijk te traceren en te bevriezen, en omschreef de situatie als „onder controle.”
Het project maakte geen bevestigd verliesbedrag bekend en verklaarde alleen dat de eerste schattingen „aanzienlijk lager zijn dan de geruchten die circuleren.”
Lees ook: Italian Tax Police Crack €500K Crypto Evasion Ring - Blockchain Was The Witness
Waarom het belangrijk is
De herstelkansen worden bemoeilijkt door het gebruik van THORChain door de aanvaller. Dit protocol verwerkt cross-chain swaps zonder bewaarders en kan niet door gecentraliseerde partijen worden bevroren. Zodra fondsen via die route Bitcoin-adressen bereiken, wordt de traceerbaarheid on-chain aanzienlijk kleiner.
De IoTeX-inbreuk maakt deel uit van een breder patroon. CrossCurve verloor $3 miljoen in een afzonderlijke bridge-exploit slechts drie weken eerder, en in januari 2026 werd volgens beschikbare beveiligingstrackers bijna $400 miljoen aan cryptovaluta gestolen in de hele sector.
Compromittering van privésleutels – in plaats van bugs in smart contracts – is steeds vaker de aangewezen aanvalsvector. Dit omzeilt volledig de geauditeerde code door zich te richten op operationele beveiliging.
Lees ook: Ripple CEO Puts 90% Odds On Crypto's Most Consequential U.S. Bill Passing By April