IoTeX ofrece una recompensa del 10% a los hackers tras la explotación de la puente entre cadenas de $4.4 millones
IoTeX, una plataforma blockchain centrada en la infraestructura de Internet de las Cosas, ha ofrecido una recompensa del 10% por buenas prácticas por un total de aproximadamente $440,000 a los hackers responsables de explotar su puente cross-chain ioTube, condicionado a la devolución de aproximadamente $4.4 millones en activos robados en un plazo de 48 horas.
La oferta, comunicada mediante un mensaje en la cadena y declaraciones públicas del cofundador y CEO de IoTeX, Raullen Chai, el 23 de febrero de 2026, incluye un compromiso de no emprender acciones legales ni compartir información identificativa con las autoridades si los fondos son devueltos voluntariamente. La explotación del 21 de febrero se originó a partir de una clave privada comprometida del propietario del validador en el lado de Ethereum del puente, que IoTeX y analistas de seguridad externos han calificado como una falla en la seguridad operativa, en lugar de una vulnerabilidad en la blockchain Layer 1 del proyecto o en su arquitectura de contratos inteligentes.
Los fondos robados, inicialmente estimados por firmas de seguridad blockchain en hasta $8.8 millones, han sido rastreados por IoTeX en varias cadenas, identificando cuatro direcciones de bitcoin que contienen aproximadamente 66.6 BTC. IoTeX está implementando una actualización de la red principal que requiere que los operadores de nodos apliquen una lista negra predeterminada de direcciones maliciosas, aunque los expertos en seguridad advierten que los activos ya intercambiados y bridged a través de protocolos como THORChain pueden ser difíciles o imposibles de recuperar.
Términos de la recompensa y estrategia de comunicación
La oferta de recompensa de IoTeX sigue un patrón establecido por proyectos cripto anteriores que han negociado con hackers mediante incentivos similares del 10% para buenas prácticas. Chai confirmó a CoinDesk que el equipo envió un mensaje en la cadena al atacante detallando los términos, que incluyen una garantía de no emprender acciones legales ni compartir información identificativa con las autoridades si los fondos restantes son devueltos en el plazo de 48 horas.
“Todos los movimientos de fondos en Ethereum, IoTeX y bitcoin han sido completamente rastreados”, afirmó Chai en el mensaje en la cadena. La comunicación también señalaba que los depósitos en exchanges han sido marcados y congelados, limitando la capacidad del atacante para liquidar los activos robados a través de plataformas centralizadas.
Causa técnica y falla en la seguridad operativa
La explotación del 21 de febrero permitió el control no autorizado de los contratos del puente ioTube mediante una clave privada comprometida del propietario del validador en el lado de Ethereum de la infraestructura. Los analistas de seguridad han destacado que la brecha no se debió a una vulnerabilidad en un contrato inteligente ni a una compromisión de la blockchain Layer 1 de IoTeX.
Nick Motz, CEO de ORQO Group y CIO de Soil, dijo a CoinDesk que “la brecha se debió a una clave privada comprometida del propietario del validador en Ethereum, lo cual es fundamentalmente una falla en la seguridad operativa, no una vulnerabilidad en un contrato inteligente descubierta por un actor externo.” Motz señaló que, aunque la Layer 1 de IoTeX permaneció segura, los fondos de los usuarios estaban específicamente confiados en la infraestructura del puente que el proyecto construyó y mantuvo.
Nanak Nihal Khalsa, cofundador de human.tech, enmarcó el incidente en términos de normas de responsabilidad en la industria. “Sí, quien tenga la clave privada es responsable de asegurarla”, dijo Khalsa. “¿Es esa una responsabilidad razonable? Es difícil de decir. Pero así funciona la industria en este momento.” Khalsa abogó por configuraciones de billeteras y multisig más robustas para reducir riesgos similares, señalando que las normas de responsabilidad aún no están definidas en comparación con las finanzas tradicionales.
Rastreo de activos, actividad de acuñación y perspectivas de recuperación
La firma de seguridad blockchain PeckShield estimó inicialmente pérdidas superiores a $8 millones, reportando que el atacante intercambió los fondos robados por ether y comenzó a bridgarlos a bitcoin mediante THORChain. El investigador en cadena Specter confirmó la brecha, identificando aproximadamente $4.3 millones drenados directamente del cofre de tokens en múltiples activos, incluyendo USDC, USDT, IOTX, PAYG, WBTC y BUSD.
Según el análisis de Specter, el atacante también utilizó los contratos comprometidos para acuñar aproximadamente 111 millones de tokens CIOTX, el estándar de tokens cross-chain de IoTeX diseñado para liquidez multichain, valorados en unos $4 millones. Además, se drenaron 9.3 millones de tokens CCS, valorados en aproximadamente $4.5 millones, aunque IoTeX ha declarado que CCS y muchos otros tokens fueron descontinuados hace tiempo y no tienen valor, y que CIOTX ha sido en gran medida congelado.
IoTeX ha identificado cuatro direcciones de bitcoin que contienen 66.78 BTC, valorados en aproximadamente $4.3 millones a precios actuales, y afirmó que dichas direcciones están siendo monitoreadas en cooperación con exchanges. Una revisión por CoinDesk de esas direcciones el 23 de febrero confirmó que contenían aproximadamente 66.6 BTC.
Las perspectivas de recuperación siguen siendo inciertas. Motz advirtió que “una vez que los activos pasan por THORChain… la recuperación se vuelve extremadamente difícil”, añadiendo que “la contención no es lo mismo que la recuperación. Los activos con valor de mercado real fueron intercambiados y bridged. En mi opinión, es poco probable recuperarlos.” Khalsa advirtió igualmente que “es difícil predecir cuánto, si es que se puede recuperar algo.”
Reacción del mercado y acciones en la red
El token IOTX cayó aproximadamente entre un 9 y un 22% tras la explotación, pasando de $0.0054 a menos de $0.0042, antes de rebotar parcialmente. El volumen de comercio se disparó más del 500% en las horas inmediatas.
IoTeX detuvo temporalmente su blockchain tras el incidente, con Chai afirmando que la cadena se reanudaría en 24-48 horas tras implementar medidas de congelación de direcciones. El proyecto está lanzando la versión Mainnet v2.3.4, que requiere que los operadores de nodos actualicen y que incluya una lista negra predeterminada de direcciones maliciosas de cuentas externas (EOA), que serán filtradas por los nodos.
Chai dijo a The Block que los esfuerzos de recuperación están en marcha y que las estimaciones iniciales sugieren que la pérdida potencial es mucho menor que los rumores circulantes, situándose actualmente en aproximadamente $2 millones. “Hemos notificado inmediatamente a todos los exchanges para que congelen la dirección del hacker, no podrán ni siquiera depositar el token”, afirmó Chai.
Conexión con la explotación previa
El investigador en cadena Specter señaló una posible pista de financiamiento que conecta la wallet del atacante de IoTeX con el hackeo de $49 millones del neobanco de stablecoins Infini en febrero de 2025, uno de los mayores exploits del año pasado. El equipo de Infini acusó a un ex desarrollador de contratos, conocido en cadena como shaneson.eth, de mantener privilegios administrativos y drenó la bóveda de la plataforma.
Chai dijo a The Block que “tenemos varias evidencias que sugieren que esto es un ataque planificado que podría haber estado en desarrollo durante seis a dieciocho meses”, aunque aún no está claro si esto se refiere específicamente a la posible conexión con el hacker de Infini.
Contexto de la industria
El incidente se suma a un patrón sostenido de vulnerabilidades en puentes cross-chain, que según informes de la industria, han provocado pérdidas superiores a $3.2 mil millones en múltiples exploits. Las compromisos de claves privadas representaron el 88% de los fondos robados en el primer trimestre de 2025 y han continuado siendo una amenaza persistente en 2026, según Chainalysis, que reportó que el robo de criptomonedas superó los $3.4 mil millones en 2025.
“El compromiso de claves privadas en lugar de bugs en contratos inteligentes está emergiendo como el vector de ataque dominante”, afirmó Motz, señalando que tales incidentes apuntan a la seguridad operativa en lugar de código auditado.
IoTeX, fundada en 2017, se posiciona como una plataforma blockchain para redes de infraestructura física descentralizada e inteligencia artificial del mundo real (DePIN). El proyecto mantiene alianzas con Google, Samsung y ARM, y se integró con Polygon’s AggLayer a finales de 2024.
Preguntas frecuentes
¿Qué es la recompensa del 10% para buenas prácticas ofrecida por IoTeX?
IoTeX ha ofrecido aproximadamente $440,000, que representan el 10% de los aproximadamente $4.4 millones en activos robados, a los hackers responsables de la explotación del puente ioTube si devuelven voluntariamente los fondos en 48 horas. La oferta incluye un compromiso de IoTeX de no emprender acciones legales ni compartir información identificativa con las autoridades.
¿Cómo ocurrió la explotación del puente de IoTeX?
La explotación del 21 de febrero de 2026 se debió a una clave privada comprometida del propietario del validador en el lado de Ethereum del puente cross-chain ioTube. Los analistas de seguridad califican esto como una falla en la seguridad operativa, no una vulnerabilidad en la blockchain Layer 1 de IoTeX. El atacante obtuvo control no autorizado sobre los contratos del puente y drenó tokens directamente del vault.
¿Se pueden recuperar los fondos robados?
Las perspectivas de recuperación son inciertas. Aunque IoTeX ha identificado direcciones de bitcoin con aproximadamente 66.6 BTC y está coordinando con exchanges para monitorear y congelar activos, el atacante intercambió los fondos robados por ether y los bridgió a bitcoin mediante THORChain, un protocolo que hace que la recuperación sea extremadamente difícil. Los expertos en seguridad señalan que los activos ya intercambiados y bridged probablemente no puedan recuperarse, aunque la recompensa ofrece un incentivo para la devolución voluntaria.