IoTeXは、$4.4百万のクロスチェーンブリッジの脆弱性を突かれた後、ハッカーに対して10％の報奨金を提供
IoTeXは、インターネット・オブ・シングス（IoT）インフラに焦点を当てたブロックチェーンプラットフォームであり、48時間以内に約440万ドル相当の盗難資産の返還を条件に、責任のあるハッカーに対して約44万ドル（総額の10％）のホワイトハット報奨金を提供しました。
この提案は、2026年2月23日にオンチェーンメッセージとIoTeX共同創設者兼CEOのチャウレン・チャイによる公開声明を通じて伝えられ、資金が自主的に返還された場合、法的措置を取らないことや法執行機関に識別情報を提供しないことを約束しています。2月21日の攻撃は、イーサリアム側のブリッジの検証者所有者の秘密鍵が侵害されたことに起因し、IoTeXや外部のセキュリティ分析者はこれを運用上のセキュリティの失敗と評価しており、プロジェクトのLayer 1ブロックチェーンやスマートコントラクトの脆弱性ではないとしています。
盗まれた資金は、当初ブロックチェーンセキュリティ企業によって最大880万ドルと推定されており、IoTeXは複数のチェーンにわたって追跡を行い、約66.6BTCを保有する4つのビットコインアドレスを特定しています。IoTeXは、悪意のあるアドレスのデフォルトブラックリストを実装するメインネットのアップグレードを進めており、ノード運用者に対してこれを適用させる予定です。ただし、セキュリティ専門家は、すでにスワップやブリッジを通じて移動された資産は回収が難しい、または不可能である可能性を指摘しています。
報奨金の条件とコミュニケーション戦略
IoTeXの報奨金提案は、過去に類似の10％ホワイトハットインセンティブを用いてハッカーと交渉に成功した暗号資産プロジェクトのパターンに従っています。チャイはCoinDeskに対し、チームは攻撃者に対してオンチェーンメッセージを送り、条件を明示したと確認しました。内容は、48時間以内に資金が返還された場合、法的措置や識別情報の共有を行わない保証を含んでいます。
「イーサリアム、IoTeX、ビットコイン間の資金移動はすべて完全に追跡済みです」とチャイは述べています。この通信には、取引所の預金もフラグ付けされ凍結されており、攻撃者が中央集権的プラットフォームを通じて盗難資産を流動化する能力を制限しています。
技術的原因と運用上のセキュリティ失敗
2月21日の攻撃は、イーサリアム側のインフラの検証者所有者の秘密鍵が侵害されたことにより、ioTubeのブリッジコントラクトに対する不正な制御を可能にしました。セキュリティ分析者は、この侵害はスマートコントラクトの脆弱性やIoTeXのLayer 1ブロックチェーンの侵害によるものではなく、運用上のセキュリティの失敗であると強調しています。
Nick Motz（ORQOグループCEO兼SoilのCIO）はCoinDeskに対し、「この侵害は、イーサリアム側の検証者所有者の秘密鍵が侵害されたことに起因し、根本的には運用上のセキュリティの失敗であり、外部の攻撃者によるスマートコントラクトの脆弱性ではない」と述べています。Motzは、IoTeXのLayer 1は安全だったものの、ユーザ資金は特にプロジェクトが構築・維持しているブリッジインフラに預けられていたと指摘しています。
human.techの共同創設者であるナナク・ニハル・カラスは、業界全体の責任規範の観点からこの事件を捉え、「秘密鍵を保持している者はそれを守る責任がある」と述べました。「それは合理的な責任と言えるのか？難しいところです。でも、今の業界のやり方です」と付け加え、同様のリスクを減らすためにより強固なウォレットやマルチシグ設定の導入を求めています。伝統的な金融と比べて責任規範が未確定である点も指摘しています。
資産追跡、ミント活動、回収の見通し
ブロックチェーンセキュリティ企業PeckShieldは、最初に損失額を800万ドル超と推定し、攻撃者が盗難資金をイーサにスワップし、THORChainを通じてビットコインにブリッジしたと報告しました。オンチェーン調査員のSpecterは、約430万ドルがUSDC、USDT、IOTX、PAYG、WBTC、BUSDなど複数の資産から直接盗まれたことを確認しています。
Specterの分析によると、攻撃者は侵害されたコントラクトを利用して約1億1100万CIOTXトークンをミントし、これはマルチチェーン流動性を目的としたIoTeXのクロスチェーントークン規格で、推定価値は約400万ドルと見積もられています。さらに、約930万CCSトークン（約450万ドル相当）も盗まれましたが、IoTeXはこれらのトークンはすでに廃止されており価値がないとし、CIOTXもほぼ凍結済みとしています。
IoTeXは、現在約430万ドル相当の66.78BTCを保有する4つのビットコインアドレスを特定し、取引所と協力して監視を行っていると述べています。CoinDeskの2月23日の調査では、これらのアドレスには約66.6BTCが保管されていることが確認されました。
回収の見通しは不透明です。Motzは、「一度資産がTHORChainを通じてルーティングされると、回収は非常に困難になる」と警告し、「封じ込めは回収と同じではない。実際の市場価値のある資産はスワップされ、ブリッジされた。これらは、私の見解では、回収の可能性は低い」と述べています。カラスも、「どれだけ回収できるか、あるいはできるのか予測するのは難しい」と注意を促しています。
市場の反応とネットワークの対応
攻撃後、IOTXトークンは約9～22％下落し、0.0054ドルから0.0042ドル未満に下落、その後一部回復しました。取引量は瞬間的に500％以上増加しました。
IoTeXは一時的にブロックチェーンを停止し、チャイは、アドレス凍結措置を実施した後、24～48時間以内に再開すると述べました。現在、メインネットv2.3.4のアップグレードを進めており、ノード運用者に対してアップグレードとともに、外部所有アカウント（EOA）のデフォルトブラックリストを適用させる予定です。
チャイはThe Blockに対し、「回復作業は進行中であり、最初の見積もりでは流布されている噂よりもはるかに少ない損失額、約200万ドルと見積もっている」と述べました。「すぐにすべての取引所にハッカーのアドレスを凍結するよう通知しました。これ以上トークンを預けることはできません」と付け加えました。
以前の攻撃との関連性
オンチェーン調査員のSpecterは、IoTeXの攻撃者のウォレットと、2025年2月に発生した最大規模の攻撃の一つであるステーブルコインのネオバンク、Infiniの4,900万ドルハッキングとの資金の流れの可能性を指摘しました。Infiniのチームは、オンチェーン上でshaneson.ethとして知られる元契約開発者が管理権を保持し、プラットフォームの金庫を流出させたと非難しています。
チャイはThe Blockに対し、「この攻撃は、すでに6ヶ月から18ヶ月にわたり進行していた計画的な攻撃の証拠が複数存在する」と述べましたが、これが具体的にInfiniハッカーとの関連を示すものかは不明です。
業界の背景
この事件は、クロスチェーンブリッジの脆弱性の持続的なパターンに加わるものであり、業界レポートによると、これまでに32億ドル超の損失をもたらしています。2025年第1四半期には、秘密鍵の侵害が盗まれた資金の88％を占めており、2026年も引き続き脅威となっています。Chainalysisによると、2025年の暗号資産窃盗は34億ドルを超えました。
「秘密鍵の侵害は、スマートコントラクトのバグよりも攻撃の主な手法として浮上しています」とMotzは述べ、こうした事件は運用上のセキュリティを狙ったものであり、監査済みのコードを狙ったものではないと指摘しています。
IoTeXは2017年に設立され、現実世界のAIや分散型物理インフラネットワーク（DePIN）向けのブロックチェーンプラットフォームとして位置付けられています。同社はGoogle、Samsung、ARMと提携し、2024年末にはPolygonのAggLayerとも連携しています。
よくある質問
IoTeXが提供する10％のホワイトハット報奨金とは何ですか？
IoTeXは、盗難資産の約10％にあたる約44万ドルを、48時間以内に自発的に資金を返還した場合に限り、ioTubeブリッジの脆弱性を悪用したハッカーに対して提供しています。この提案には、法的措置を取らないことや、識別情報を法執行機関と共有しないことが含まれています。
IoTeXのブリッジ攻撃はどのようにして起きたのですか？
2026年2月21日の攻撃は、ioTubeのクロスチェーンブリッジのイーサリアム側の検証者所有者の秘密鍵が侵害されたことにより発生しました。セキュリティ分析者は、これはIoTeXのLayer 1ブロックチェーンやスマートコントラクトの脆弱性ではなく、運用上のセキュリティの失敗と評価しています。攻撃者はブリッジコントラクトに不正に制御を奪い、トークンを直接金庫から引き出しました。
盗まれた資金は回収できるのですか？
回収の見通しは不透明です。IoTeXは、約66.6BTCを保有するビットコインアドレスを特定し、取引所と連携して監視・凍結を進めていますが、攻撃者は盗難資金をイーサにスワップし、THORChainを通じてビットコインにブリッジしています。これは回収を非常に困難にしています。専門家は、すでにスワップやブリッジされた資産は回収が難しいと指摘していますが、ホワイトハット報奨金は自主的な返還のインセンティブとなっています。