IoTeX oferece uma recompensa de 10% aos hackers após exploração de ponte cross-chain de $4,4 milhões

IoTeX, uma plataforma blockchain focada na infraestrutura de Internet das Coisas, ofereceu uma recompensa de 10% no valor total de aproximadamente $440.000 aos hackers responsáveis por explorar a ponte cross-chain ioTube, condicionada à devolução de cerca de $4,4 milhões em ativos roubados dentro de 48 horas.

A oferta, comunicada via mensagem na blockchain e declarações públicas do cofundador e CEO da IoTeX, Raullen Chai, em 23 de fevereiro de 2026, inclui um compromisso de não tomar ações legais ou compartilhar informações de identificação com as autoridades caso os fundos sejam devolvidos voluntariamente. A exploração de 21 de fevereiro teve origem numa chave privada comprometida do proprietário do validador na parte Ethereum da ponte, que a IoTeX e analistas de segurança externos caracterizaram como uma falha de segurança operacional, e não uma vulnerabilidade na blockchain Layer 1 do projeto ou na arquitetura de contratos inteligentes.

Os fundos roubados, inicialmente estimados por empresas de segurança blockchain em até $8,8 milhões, foram rastreados pela IoTeX em várias cadeias, com o projeto identificando quatro endereços de bitcoin que detêm aproximadamente 66,6 BTC. A IoTeX está implementando uma atualização de rede principal que exige que os operadores de nós adotem uma lista negra padrão de endereços maliciosos, embora especialistas em segurança alertem que ativos já trocados e bridged via protocolos como THORChain podem ser difíceis ou impossíveis de recuperar.

Termos da Recompensa e Estratégia de Comunicação

A oferta de recompensa da IoTeX segue um padrão estabelecido por projetos de criptomoedas anteriores que negociaram com hackers por meio de incentivos semelhantes de 10% para white-hats. Chai confirmou à CoinDesk que a equipe enviou uma mensagem na blockchain ao atacante, detalhando os termos, incluindo a garantia de não tomar ações legais ou compartilhar informações de identificação com as autoridades caso os fundos restantes sejam devolvidos dentro do prazo de 48 horas.

“Todos os movimentos de fundos na Ethereum, IoTeX e bitcoin foram totalmente rastreados”, afirmou Chai na mensagem na blockchain. A comunicação também destacou que depósitos em exchanges foram sinalizados e congelados, limitando a capacidade do atacante de liquidar ativos roubados por plataformas centralizadas.

Causa Técnica e Falha de Segurança Operacional

A exploração de 21 de fevereiro permitiu controle não autorizado sobre os contratos da ponte ioTube por meio de uma chave privada comprometida do proprietário do validador na parte Ethereum da infraestrutura. Analistas de segurança enfatizaram que a violação não resultou de uma vulnerabilidade em contratos inteligentes ou na blockchain Layer 1 da IoTeX.

Nick Motz, CEO do ORQO Group e CIO da Soil, disse à CoinDesk que “a violação se deve a uma chave privada comprometida do proprietário do validador na Ethereum, que é fundamentalmente uma falha de segurança operacional, e não uma vulnerabilidade de contrato inteligente descoberta por um ator externo.” Motz observou que, embora a Layer 1 da IoTeX permanecesse segura, os fundos dos usuários foram confiados especificamente à infraestrutura da ponte que o projeto construiu e manteve.

Nanak Nihal Khalsa, cofundador da human.tech, enquadrou o incidente em termos de normas de responsabilidade da indústria. “Sim, quem detém a chave privada é responsável por protegê-la”, disse Khalsa. “Essa é uma responsabilidade razoável? Difícil de dizer. Mas é assim que a indústria funciona atualmente.” Khalsa pediu por configurações mais robustas de carteiras e multiassinaturas para reduzir riscos semelhantes, observando que as normas de responsabilidade ainda não estão totalmente estabelecidas em comparação com o setor financeiro tradicional.

Rastreamento de Ativos, Atividades de Minting e Perspectivas de Recuperação

A empresa de segurança blockchain PeckShield inicialmente estimou perdas superiores a $8 milhões, relatando que o atacante trocou os fundos roubados por ether e começou a bridgar para bitcoin via THORChain. O investigador na blockchain Specter confirmou a violação, identificando aproximadamente $4,3 milhões drenados diretamente do cofre de tokens, incluindo USDC, USDT, IOTX, PAYG, WBTC e BUSD.

Segundo a análise de Specter, o atacante também utilizou contratos comprometidos para cunhar aproximadamente 111 milhões de tokens CIOTX, padrão de token cross-chain da IoTeX para liquidez multichain, avaliado em cerca de $4 milhões. Outros 9,3 milhões de tokens CCS, avaliados em aproximadamente $4,5 milhões, também foram drenados, embora a IoTeX tenha declarado que CCS e muitos outros tokens foram descontinuados há muito tempo e não possuem valor, e que o CIOTX foi amplamente congelado.

A IoTeX identificou quatro endereços de bitcoin que detêm 66,78 BTC, avaliados em aproximadamente $4,3 milhões na cotação atual, e afirmou que esses endereços estão sendo monitorados em cooperação com as exchanges. Uma análise da CoinDesk em 23 de fevereiro confirmou que esses endereços continham cerca de 66,6 BTC.

As perspectivas de recuperação permanecem incertas. Motz alertou que “uma vez que os ativos passam pelo THORChain… a recuperação torna-se extremamente difícil”, acrescentando que “conter não é o mesmo que recuperar. Os ativos com valor de mercado real foram trocados e bridged. Na minha avaliação, é improvável recuperá-los.” Khalsa também alertou que “é difícil prever quanto, se é que alguma coisa, pode ser recuperada.”

Reação do Mercado e Ações na Rede

O token IOTX caiu aproximadamente 9-22% após a exploração, passando de $0,0054 para abaixo de $0,0042, antes de se recuperar parcialmente. O volume de negociações aumentou mais de 500% imediatamente após o incidente.

A IoTeX interrompeu temporariamente sua blockchain após o ocorrido, com Chai afirmando que a cadeia seria retomada em 24-48 horas após a implementação de medidas de congelamento de endereços. O projeto está lançando a versão Mainnet v2.3.4, que exige que os operadores de nós atualizem e inclui uma lista negra padrão de endereços maliciosos de contas externas (EOA), que serão filtrados pelos nós.

Chai disse ao The Block que os esforços de recuperação estão em andamento e que as estimativas iniciais sugerem que a perda potencial é significativamente menor do que os rumores circulantes, atualmente estimada em cerca de $2 milhões. “Notificamos imediatamente todas as exchanges para congelar o endereço do hacker, eles não poderão nem mesmo depositar o token”, afirmou Chai.

Ligação com Exploração Anterior

O investigador na blockchain Specter apontou uma possível trilha de financiamento conectando a carteira do atacante da IoTeX ao hack de $49 milhões do neobank de stablecoins Infini em fevereiro de 2025, uma das maiores explorações do ano passado. A equipe do Infini acusou um ex-desenvolvedor de contratos, conhecido na blockchain como shaneson.eth, de manter privilégios administrativos e esvaziar a vault da plataforma.

Chai afirmou ao The Block que “temos várias evidências sugerindo que se trata de um ataque planejado que poderia estar em desenvolvimento há de seis a dezoito meses”, embora ainda não esteja claro se isso se refere especificamente à conexão com o hacker do Infini.

Contexto da Indústria

O incidente reforça um padrão contínuo de vulnerabilidades em pontes cross-chain, que relatórios do setor indicam terem causado perdas superiores a $3,2 bilhões em múltiplos exploits. Comprometimentos de chaves privadas representaram 88% dos fundos roubados no primeiro trimestre de 2025 e continuam sendo uma ameaça persistente em 2026, segundo a Chainalysis, que reportou que roubos de criptomoedas ultrapassaram $3,4 bilhões em 2025.

“Comprometimento de chaves privadas, ao invés de bugs em contratos inteligentes, está emergindo como o vetor de ataque dominante”, disse Motz, observando que esses incidentes focam na segurança operacional, e não em códigos auditados.

A IoTeX, fundada em 2017, posiciona-se como uma plataforma blockchain para redes de IA do mundo real e infraestrutura física descentralizada (DePINs). O projeto mantém parcerias com Google, Samsung e ARM, e integrou-se ao AggLayer da Polygon no final de 2024.

Perguntas Frequentes

O que é a recompensa de 10% oferecida pela IoTeX?

A IoTeX ofereceu aproximadamente $440.000, representando 10% dos cerca de $4,4 milhões em ativos roubados, aos hackers responsáveis pela exploração da ponte ioTube, se devolverem voluntariamente os fundos em 48 horas. A oferta inclui um compromisso da IoTeX de não tomar ações legais ou compartilhar informações de identificação com as autoridades.

Como ocorreu a exploração da ponte ioTube?

A exploração de 21 de fevereiro de 2026 resultou de uma chave privada comprometida do proprietário do validador na parte Ethereum da ponte cross-chain ioTube. Analistas de segurança caracterizaram isso como uma falha de segurança operacional, e não uma vulnerabilidade na blockchain Layer 1 ou nos contratos inteligentes da IoTeX. O atacante obteve controle não autorizado sobre contratos da ponte e drenou tokens diretamente do cofre.

Os fundos roubados podem ser recuperados?

As perspectivas de recuperação são incertas. Embora a IoTeX tenha identificado endereços de bitcoin com aproximadamente 66,6 BTC e esteja coordenando com exchanges para monitorar e congelar ativos, o atacante trocou os fundos roubados por ether e bridgou para bitcoin via THORChain, um protocolo que torna a recuperação extremamente difícil. Especialistas de segurança observam que ativos já trocados e bridged provavelmente não serão recuperados, embora a recompensa oferecida possa incentivar a devolução voluntária.