IoTeX предлагает 10% награду хакерам после взлома межцепочного моста на сумму 4,4 миллиона долларов

IoTeX, блокчейн-платформа, ориентированная на инфраструктуру Интернета вещей, предложила хакерам, ответственным за взлом кроссчейн-моста ioTube, вознаграждение в размере 10% от суммы — примерно 440 000 долларов США, при условии возврата украденных активов на сумму около 4,4 миллиона долларов в течение 48 часов.

Предложение, сделанное через on-chain сообщение и публичные заявления соучредителя и CEO IoTeX Raullen Chai 23 февраля 2026 года, включает обязательство не подавать в суд и не разглашать идентифицирующую информацию правоохранительным органам, если средства будут добровольно возвращены. Взлом 21 февраля произошел из-за компрометации приватного ключа владельца валидатора на стороне Ethereum, что, по мнению IoTeX и внешних аналитиков безопасности, является операционной ошибкой, а не уязвимостью в архитектуре Layer 1 блокчейна или смарт-контрактах проекта.

Украденные средства, первоначально оцененные блокчейн-аналитиками на сумму до 8,8 миллиона долларов, были прослежены IoTeX по нескольким цепочкам, и проект выявил четыре биткоин-адреса, содержащие примерно 66,6 BTC. IoTeX внедряет обновление основной сети, требующее от операторов узлов реализовать дефолтный черный список вредоносных адресов, хотя эксперты по безопасности предупреждают, что активы, уже обменянные и переведенные через протоколы вроде THORChain, могут быть трудно или невозможно вернуть.

Условия вознаграждения и стратегия коммуникации

Предложение IoTeX о вознаграждении следует модели, установленной предыдущими криптопроектами, успешно договаривавшимися с хакерами через аналогичные стимулы в 10% для белых хакеров. Chai подтвердил CoinDesk, что команда отправила на цепочке сообщение злоумышленнику с изложением условий, включая гарантию не подавать в суд и не разглашать личную информацию правоохранительным органам, если оставшиеся средства будут возвращены в течение 48 часов.

«Все перемещения средств по Ethereum, IoTeX и Bitcoin полностью прослежены», — заявил Chai в сообщении на цепочке. Также было отмечено, что депозиты на биржах были помечены и заморожены, что ограничивает возможность злоумышленника ликвидировать украденные активы через централизованные платформы.

Техническая причина и операционная ошибка безопасности

Взлом 21 февраля позволил злоумышленнику получить несанкционированный контроль над контрактами моста ioTube через компрометацию приватного ключа владельца валидатора на стороне Ethereum. Аналитики безопасности подчеркнули, что взлом не связан с уязвимостью смарт-контрактов или нарушением Layer 1 блокчейна IoTeX.

Nick Motz, CEO ORQO Group и CIO Soil, сообщил CoinDesk, что «взлом произошел из-за компрометации приватного ключа владельца валидатора на стороне Ethereum, что по сути является операционной ошибкой, а не уязвимостью смарт-контрактов, обнаруженной внешним участником». Он отметил, что, несмотря на безопасность Layer 1 IoTeX, средства пользователей были доверены именно инфраструктуре моста, которую проект строил и обслуживал.

Нанак Нихал Халса, соучредитель human.tech, охарактеризовал инцидент с точки зрения отраслевых стандартов ответственности. «Да, тот, у кого есть приватный ключ, отвечает за его безопасность», — сказал Халса. «Это разумная ответственность? Трудно сказать. Но именно так работает индустрия сейчас». Халса призвал к более надежным кошелькам и мультиподписным схемам для снижения подобных рисков, отметив, что нормы ответственности еще не урегулированы по сравнению с традиционными финансами.

Прослеживание активов, деятельность по выпуску и перспективы восстановления

Блокчейн-аналитическая фирма PeckShield изначально оценивала убытки более чем в 8 миллионов долларов, сообщая, что злоумышленник обменял украденные средства на эфир и начал переводить их на биткоин через THORChain. On-chain-исследователь Specter подтвердил компрометацию, выявив около 4,3 миллиона долларов, выведенных прямо из сейфа токенов, среди которых USDC, USDT, IOTX, PAYG, WBTC и BUSD.

По анализу Specter, злоумышленник также использовал компрометированные контракты для выпуска примерно 111 миллионов токенов CIOTX, стандарта межцепочечных токенов IoTeX, предназначенного для мультицепочной ликвидности, оцененного примерно в 4 миллиона долларов. Еще 9,3 миллиона токенов CCS, стоимостью около 4,5 миллиона долларов, также были выведены, хотя IoTeX заявил, что CCS и многие другие токены давно устарели и не имеют стоимости, а CIOTX в основном заморожен.

IoTeX выявил четыре биткоин-адреса, содержащие 66,78 BTC на сумму примерно 4,3 миллиона долларов по текущим ценам, и заявил, что адреса мониторятся в сотрудничестве с биржами. Обзор этих адресов CoinDesk 23 февраля подтвердил, что они хранят примерно 66,6 BTC.

Перспективы восстановления остаются неопределенными. Мотц предупредил, что «как только активы проходят через THORChain… восстановление становится чрезвычайно сложным», добавив, что «ограничение — это не то же самое, что и восстановление. Активы с реальной рыночной ценностью были обменяны и переведены. По моему мнению, их вряд ли удастся вернуть». Халса также предостерег, что «предсказать, сколько, если вообще что-то, удастся вернуть, трудно».

Реакция рынка и действия сети

После взлома токен IOTX упал примерно на 9–22%, с 0,0054 доллара до менее 0,0042 доллара, после чего частично восстановился. Объем торгов вырос более чем на 500% в первые часы после инцидента.

IoTeX временно остановила работу своей блокчейн-сети, Chai заявил, что цепочка возобновит работу в течение 24–48 часов после внедрения мер по заморозке адресов. Проект выпускает обновление Mainnet v2.3.4, требующее обновления узлов и включающее дефолтный черный список вредоносных внешних аккаунтов (EOA), который будут фильтровать узлы.

Chai сообщил The Block, что усилия по восстановлению уже начаты, и предварительные оценки показывают, что потенциальные потери значительно ниже распространенных слухов, и в настоящее время оцениваются примерно в 2 миллиона долларов. «Мы сразу же уведомили все биржи о необходимости заморозить адрес хакера, он даже не сможет внести депозит», — сказал Chai.

Связь с предыдущим взломом

On-chain-исследователь Specter отметил возможную связь между кошельком злоумышленника IoTeX и взломом стейблкоина Infini на сумму 49 миллионов долларов в феврале 2025 года — одним из крупнейших взломов прошлого года. Команда Infini обвинила бывшего разработчика контрактов, известного как shaneson.eth, в сохранении административных привилегий и выводе средств из хранилища платформы.

Chai сообщил The Block, что «у нас есть несколько доказательств, указывающих на то, что это спланированная атака, которая могла развиваться уже шесть-восемнадцать месяцев», хотя остается неясным, относится ли это конкретно к возможной связи с Infini.

Контекст индустрии

Инцидент дополняет устойчивую тенденцию уязвимостей межцепочечных мостов, по данным отраслевых отчетов, приведших к потерям более 3,2 миллиарда долларов в результате нескольких взломов. Компрометация приватных ключей составляла 88% украденных средств в первом квартале 2025 года и продолжает оставаться постоянной угрозой в 2026 году, сообщает Chainalysis, отметив, что кражи криптовалют в 2025 году превысили 3,4 миллиарда долларов.

«Компрометация приватных ключей, а не уязвимости смарт-контрактов, становится доминирующим вектором атак», — сказал Мотц, подчеркнув, что такие инциденты связаны с операционной безопасностью, а не с проверенным кодом.

IoTeX, основанная в 2017 году, позиционирует себя как блокчейн-платформа для реальных ИИ и децентрализованных физических инфраструктурных сетей (DePINs). Проект сотрудничает с Google, Samsung и ARM, а в конце 2024 года интегрировался с Polygon через AggLayer.

Часто задаваемые вопросы

Что такое 10% белого хакерского вознаграждения от IoTeX?

IoTeX предложила примерно 440 000 долларов, что составляет 10% от украденных активов примерно на 4,4 миллиона долларов, хакерам, ответственным за взлом ioTube, при условии добровольного возврата средств в течение 48 часов. В предложение входит обязательство IoTeX не подавать в суд и не разглашать личную информацию правоохранительным органам.

Как произошел взлом моста IoTeX?

Взлом 21 февраля 2026 года произошел из-за компрометации приватного ключа владельца валидатора на стороне Ethereum кроссчейн-моста ioTube. Аналитики безопасности характеризуют это как операционную ошибку, а не уязвимость Layer 1 или смарт-контрактов IoTeX. Злоумышленник получил несанкционированный контроль над контрактами моста и вывел токены прямо из хранилища.

Можно ли вернуть украденные средства?

Перспективы восстановления неопределенны. Хотя IoTeX выявила биткоин-адреса с примерно 66,6 BTC и координирует мониторинг и заморозку активов с биржами, злоумышленник обменял украденные средства на эфир и перевел их на биткоин через THORChain, протокол, который делает возврат крайне сложным. Эксперты безопасности отмечают, что активы, уже обменянные и переведенные, вряд ли удастся вернуть, хотя предложение вознаграждения создает стимул для добровольного возврата.