Uma violação de chave privada deu a um invasor acesso não autorizado ao cofre de tokens da IoTeX em 21 de fevereiro, drenando ativos avaliados em estimados US$ 8 milhões ou mais antes que os fundos fossem convertidos em Ethereum e roteados para Bitcoin (BTC) via THORChain.
A equipe da IoTeX confirmou a violação, mas contestou os valores de danos que circulam no mercado, afirmando que as perdas reais são menores do que as reportadas.
IOTX, o token nativo da IoTeX, caiu cerca de 9–10% com a notícia, enquanto o volume de negociação disparou mais de 500% em 24 horas.
O que aconteceu
A empresa de segurança em blockchain PeckShield confirmou o exploit no X, afirmando que o hacker obteve controle total do cofre de tokens por meio de uma chave privada comprometida e extraiu múltiplos ativos, incluindo USDC, USDT, IOTX, WBTC, PAYG e BUSD.
O invasor então trocou os tokens roubados por ETH e fez bridge de aproximadamente 45 ETH para endereços de Bitcoin usando a THORChain – um protocolo de roteamento cross-chain sem mecanismo centralizado de congelamento.
Além do esvaziamento inicial, o invasor teria explorado o mesmo acesso comprometido para cunhar 111 milhões de tokens CIOTX, elevando o dano total estimado para cerca de US$ 8,8 milhões a US$ 9 milhões em todos os vetores. Três endereços de carteira do invasor foram identificados publicamente por analistas on-chain.
Resposta da IoTeX
A IoTeX reconheceu publicamente a violação por volta das 10h30 UTC de 21 de fevereiro.
A equipe afirmou ter coordenado com as principais corretoras de criptomoedas e parceiros de segurança para rastrear e congelar os ativos do hacker sempre que possível, descrevendo a situação como “sob controle”.
O projeto não divulgou um valor de perda confirmado, dizendo apenas que as estimativas iniciais são “significativamente menores do que os rumores em circulação”.
Leia também: Italian Tax Police Crack €500K Crypto Evasion Ring - Blockchain Was The Witness
Por que isso importa
As perspectivas de recuperação são complicadas pelo uso da THORChain pelo invasor, que processa swaps cross-chain sem custodiantes e não pode ser congelada por entidades centralizadas. Uma vez que os fundos chegam a endereços de Bitcoin por essa rota, a rastreabilidade on-chain se reduz consideravelmente.
A violação da IoTeX faz parte de um padrão mais amplo. A CrossCurve perdeu US$ 3 milhões em um exploit de bridge separado apenas três semanas antes, e janeiro de 2026 registrou quase US$ 400 milhões em roubos de criptomoedas em todo o setor, de acordo com dados de monitoramento de segurança disponíveis.
Comprometimentos de chaves privadas – em vez de bugs em contratos inteligentes – estão se tornando cada vez mais o vetor de ataque preferido, contornando completamente o código auditado ao mirar na segurança operacional.
Leia também: Ripple CEO Puts 90% Odds On Crypto's Most Consequential U.S. Bill Passing By April