Um comprometimento de chave privada deu a um atacante acesso não autorizado ao cofre de tokens da IoTeX em 21 de fevereiro, drenando ativos avaliados em cerca de US$ 8 milhões ou mais antes que os fundos fossem convertidos em Ethereum e enviados para Bitcoin (BTC) via THORChain.
A equipe da IoTeX confirmou a violação, mas contestou os números de danos que circulavam no mercado, afirmando que as perdas reais são menores do que as reportadas.
IOTX, o token nativo da IoTeX, caiu aproximadamente 9–10% com a notícia, enquanto o volume de negociação disparou mais de 500% em 24 horas.
O que aconteceu
A empresa de segurança em blockchain PeckShield confirmou o exploit no X, afirmando que o invasor obteve controle total do cofre de tokens por meio de uma chave privada comprometida e extraiu múltiplos ativos, incluindo USDC, USDT, IOTX, WBTC, PAYG e BUSD.
Em seguida, o atacante trocou os tokens roubados por ETH e fez bridge de aproximadamente 45 ETH para endereços de Bitcoin usando a THORChain – um protocolo de roteamento cross-chain sem mecanismo centralizado de congelamento.
Além do dreno inicial, o invasor supostamente explorou o mesmo acesso comprometido para cunhar 111 milhões de tokens CIOTX, elevando o dano total estimado para algo entre US$ 8,8 milhões e US$ 9 milhões em todos os vetores. Três endereços de carteira do atacante foram identificados publicamente por analistas on-chain.
Resposta da IoTeX
A IoTeX reconheceu publicamente a violação por volta das 10h30 UTC de 21 de fevereiro.
A equipe afirmou ter se coordenado com grandes corretoras de criptomoedas e parceiros de segurança para rastrear e congelar os ativos do hacker sempre que possível, descrevendo a situação como “sob controle”.
O projeto não divulgou um valor de perda confirmado, afirmando apenas que as estimativas iniciais são “significativamente menores do que os rumores em circulação”.
Leia também: Italian Tax Police Crack €500K Crypto Evasion Ring - Blockchain Was The Witness
Por que isso importa
As perspectivas de recuperação são complicadas pelo uso da THORChain pelo atacante, que processa swaps cross-chain sem custodiante e não pode ser congelada por entidades centralizadas. Depois que os fundos chegam a endereços de Bitcoin por essa rota, a rastreabilidade on-chain se torna consideravelmente mais estreita.
A violação da IoTeX faz parte de um padrão mais amplo. A CrossCurve perdeu US$ 3 milhões em um exploit de bridge separado apenas três semanas antes, e janeiro de 2026 registrou quase US$ 400 milhões em roubos de criptomoedas na indústria como um todo, de acordo com dados de rastreamento de segurança disponíveis.
Comprometimentos de chaves privadas – em vez de bugs em contratos inteligentes – estão se tornando cada vez mais o vetor de ataque preferido, contornando totalmente o código auditado ao mirar na segurança operacional.
Leia também: Ripple CEO Puts 90% Odds On Crypto's Most Consequential U.S. Bill Passing By April