Sự cố lộ khóa riêng đã giúp kẻ tấn công truy cập trái phép vào kho token của IoTeX ngày 21/2, rút cạn tài sản trị giá ước tính từ 8 triệu USD trở lên trước khi chuyển đổi sang Ethereum và chuyển sang Bitcoin (BTC) qua THORChain.
Đội ngũ IoTeX đã xác nhận vụ vi phạm nhưng phản bác các con số thiệt hại đang lan truyền trên thị trường, cho rằng mức lỗ thực tế thấp hơn báo cáo.
IOTX, token gốc của IoTeX, đã giảm khoảng 9–10% sau tin tức, trong khi khối lượng giao dịch tăng vọt hơn 500% trong vòng 24 giờ.
Chuyện gì đã xảy ra
Công ty bảo mật blockchain PeckShield xác nhận vụ tấn công trên X, cho biết hacker đã giành toàn quyền kiểm soát kho token thông qua khóa riêng bị lộ và rút nhiều tài sản bao gồm USDC, USDT, IOTX, WBTC, PAYG và BUSD.
Kẻ tấn công sau đó hoán đổi số token đánh cắp sang ETH và bridge khoảng 45 ETH sang các địa chỉ Bitcoin bằng THORChain - một giao thức định tuyến cross-chain không có cơ chế đóng băng tập trung.
Ngoài đợt rút đầu tiên, kẻ tấn công còn bị cáo buộc lợi dụng cùng quyền truy cập bị lộ đó để mint thêm 111 triệu token CIOTX, đẩy tổng thiệt hại ước tính lên khoảng 8,8–9 triệu USD trên mọi phương diện. Ba địa chỉ ví tấn công đã được các nhà phân tích on-chain công khai.
Phản ứng của IoTeX
IoTeX thừa nhận vụ vi phạm công khai vào khoảng 10:30 sáng UTC ngày 21/2.
Đội ngũ cho biết đã phối hợp với các sàn giao dịch tiền mã hóa lớn và các đối tác bảo mật để truy vết và đóng băng tài sản của hacker ở mức tối đa có thể, và mô tả tình hình là “đã được kiểm soát”.
Dự án không công bố con số thiệt hại cuối cùng, chỉ nói rằng các ước tính ban đầu “thấp hơn đáng kể so với tin đồn đang lan truyền”.
Đọc thêm: Italian Tax Police Crack €500K Crypto Evasion Ring - Blockchain Was The Witness
Vì sao quan trọng
Khả năng thu hồi tài sản bị cản trở đáng kể do kẻ tấn công sử dụng THORChain, vốn xử lý các giao dịch hoán đổi cross-chain mà không có bên giám hộ và không thể bị các tổ chức tập trung đóng băng. Khi tiền đã đến các địa chỉ Bitcoin qua kênh này, khả năng truy vết on-chain bị thu hẹp đáng kể.
Vụ vi phạm IoTeX là một phần của bức tranh rộng hơn. CrossCurve đã mất 3 triệu USD trong một vụ khai thác cầu nối riêng biệt chỉ ba tuần trước, và riêng tháng 1/2026 đã chứng kiến gần 400 triệu USD bị đánh cắp trên toàn ngành tiền mã hóa, theo dữ liệu theo dõi bảo mật hiện có.
Các vụ lộ khóa riêng - thay vì lỗi smart contract - ngày càng trở thành phương thức tấn công được ưa chuộng, vượt qua hoàn toàn lớp mã đã được audit bằng cách nhắm vào bảo mật vận hành.
Đọc thêm: Ripple CEO Puts 90% Odds On Crypto's Most Consequential U.S. Bill Passing By April