Компрометация приватного ключа дала атакующему несанкционированный доступ к токен‑хранилищу IoTeX 21 февраля, что позволило вывести активы на ориентировочно $8 млн и более, прежде чем средства были конвертированы в Ethereum и отправлены в Bitcoin (BTC) через THORChain.
Команда IoTeX подтвердила взлом, но оспорила распространявшиеся на рынке оценки ущерба, заявив, что реальные потери ниже, чем сообщается.
IOTX, нативный токен IoTeX, упал примерно на 9–10% на фоне новости, при этом торговый объём вырос более чем на 500% за 24 часа.
Что произошло
Блокчейн‑аудитор PeckShield подтвердил эксплойт в X, указав, что хакер получил полный контроль над токен‑хранилищем через скомпрометированный приватный ключ и вывел несколько активов, включая USDC, USDT, IOTX, WBTC, PAYG и BUSD.
Затем атакующий обменял украденные токены на ETH и перебросил примерно 45 ETH на адреса в сети Bitcoin с помощью THORChain — кросс‑чейн протокола маршрутизации без централизованного механизма заморозки.
Помимо первоначального вывода, атакующий, по сообщениям, воспользовался тем же скомпрометированным доступом для выпуска 111 млн CIOTX, увеличив общую оценку ущерба до примерно $8,8–9 млн по всем векторам. Аналитики ончейн‑данных публично идентифицировали три адреса кошельков атакующего.
Реакция IoTeX
IoTeX публично признал инцидент примерно в 10:30 по UTC 21 февраля.
Команда заявила, что скоординировала действия с крупными криптовалютными биржами и партнёрами по безопасности, чтобы отследить и заморозить активы хакера там, где это возможно, и описала ситуацию как «под контролем».
Проект не разгласил подтверждённую сумму ущерба, отметив лишь, что первоначальные оценки «существенно ниже циркулирующих слухов».
Читайте также: Italian Tax Police Crack €500K Crypto Evasion Ring - Blockchain Was The Witness
Почему это важно
Перспективы восстановления осложняются использованием атакующим THORChain, который обрабатывает кросс‑чейн свопы без кастодианов и не может быть заморожен централизованными сторонами. Как только средства достигают адресов в сети Bitcoin через этот маршрут, возможности их отслеживания на блокчейне существенно сужаются.
Взлом IoTeX вписывается в более широкую тенденцию. CrossCurve потерял $3 млн в отдельном эксплойте моста всего за три недели до этого, а в январе 2026 года, по имеющимся данным трекинга инцидентов безопасности, было украдено почти $400 млн в криптовалюте по отрасли в целом.
Компрометация приватных ключей — а не уязвимости смарт‑контрактов — всё чаще становится вектором атаки, полностью обходя аудированный код за счёт фокуса на операционной безопасности.
Читайте также: Ripple CEO Puts 90% Odds On Crypto's Most Consequential U.S. Bill Passing By April