Een compromis van een privésleutel gaf een aanvaller ongeautoriseerde toegang tot de tokenkluis van IoTeX op 21 februari. Daarbij werden assets ter waarde van naar schatting $8 miljoen of meer leeggetrokken, voordat de fondsen werden omgezet naar Ethereum en via THORChain naar Bitcoin (BTC) werden gestuurd.
Het IoTeX-team bevestigde de inbreuk maar betwistte de schadecijfers die in de markt rondgingen, en gaf aan dat de daadwerkelijke verliezen lager zijn dan gemeld.
IOTX, de native token van IoTeX, daalde ongeveer 9–10% op het nieuws, terwijl het handelsvolume binnen 24 uur met meer dan 500% steeg.
Wat er gebeurde
Blockchain-beveiligingsbedrijf PeckShield bevestigde de exploit op X en stelde dat de hacker volledige controle over de tokenkluis had gekregen via een gecompromitteerde privésleutel, en meerdere assets had onttrokken, waaronder USDC, USDT, IOTX, WBTC, PAYG en BUSD.
De aanvaller ruilde de gestolen tokens vervolgens om voor ETH en bridge-de ongeveer 45 ETH naar Bitcoin‑adressen via THORChain – een cross‑chain routing‑protocol zonder gecentraliseerd bevriezingsmechanisme.
Naast de initiële leegloop zou de aanvaller hetzelfde gecompromitteerde toegangspunt hebben misbruikt om 111 miljoen CIOTX‑tokens te minten, waardoor de totale geschatte schade richting $8,8 miljoen tot $9 miljoen ging over alle vectoren heen. Drie wallet‑adressen van de aanvaller zijn publiekelijk geïdentificeerd door on‑chain analisten.
Reactie van IoTeX
IoTeX erkende de inbreuk publiekelijk rond 10:30 uur UTC op 21 februari.
Het team gaf aan dat het had samengewerkt met grote cryptobeurzen en beveiligingspartners om de assets van de hacker te traceren en waar mogelijk te bevriezen, en omschreef de situatie als „onder controle”.
Het project maakte geen bevestigd verliesbedrag bekend en zei alleen dat de eerste schattingen „aanzienlijk lager zijn dan de geruchten die circuleren”.
Lees ook: Italian Tax Police Crack €500K Crypto Evasion Ring - Blockchain Was The Witness
Waarom het ertoe doet
De herstelkansen worden bemoeilijkt door het gebruik van THORChain door de aanvaller. Dit protocol verwerkt cross‑chain swaps zonder custodians en kan niet door gecentraliseerde partijen worden bevroren. Zodra fondsen via die route Bitcoin‑adressen bereiken, wordt de on‑chain traceerbaarheid aanzienlijk beperkter.
De inbreuk bij IoTeX maakt deel uit van een breder patroon. CrossCurve verloor $3 miljoen in een afzonderlijke bridge‑exploit slechts drie weken eerder, en in januari 2026 werd volgens beschikbare security‑trackingdata bijna $400 miljoen aan cryptovaluta gestolen in de hele sector.
Compromissen van privésleutels – in plaats van bugs in smart contracts – worden steeds vaker de aanvalsvector bij uitstek. Ze omzeilen volledig de geaudite code door zich te richten op operationele beveiliging.
Lees ook: Ripple CEO Puts 90% Odds On Crypto's Most Consequential U.S. Bill Passing By April