Mise à jour n°3 sur l'incident de sécurité ioTube : Récupération complète et plan d'indemnisation

Voici notre troisième mise à jour suite à l'incident de sécurité du pont ioTube survenu le 21 février et à l'activation du Mainnet v2.3.4 le 24 février. L'équipe IoTeX travaille sans relâche avec les principales plateformes d'échange, des experts en sécurité et les forces de l'ordre internationales pour tracer et récupérer les fonds volés. Bien que la couche L1 d'IoTeX n'ait pas été affectée par l'incident et demeure sécurisée, nous reconnaissons l'impact réel que cet incident a eu sur les utilisateurs d'ioTube.

Quel que soit le résultat de la récupération, la Fondation IoTeX s'engage à indemniser intégralement tous les utilisateurs affectés, en garantissant que chaque utilisateur touché reçoive une compensation à 100 %. Ce blog présente un plan d'indemnisation définitif visant à offrir un soulagement immédiat à la grande majorité des utilisateurs de la communauté tout en maintenant la stabilité et la durabilité à long terme de l'écosystème.

Mise à jour sur l'enquête et la récupération des actifs

Depuis l'incident de sécurité, la Fondation IoTeX a pris des mesures immédiates et énergiques pour suivre et récupérer les actifs affectés. Les détails complets de notre enquête et du statut de récupération des actifs sont disponibles dans ce blog, et sont résumés ci-dessous.

• Traçage on-chain : 100 % des mouvements de fonds volés ont été tracés avec succès. Nous surveillons les adresses détenant les fonds volés 24h/24 et 7j/7 en coordination avec les plateformes d'échange et les entreprises de sécurité.
  ➔ CIOTX : Sur les 410 millions de CIOTX non autorisés frappés par l'attaquant, plus de 86 % sont définitivement verrouillés/gelés grâce aux contrôles au niveau de la chaîne déployés dans le Mainnet v2.3.4, tandis que 12,8 % ont été tracés jusqu'à Binance et effectivement gelés. Seuls 0,4 % (1,7 million de CIOTX) échangés via un DEX sont considérés à risque.
  ➔ Actifs de réserve du pont (USDC, USDT, WBTC, ETH) : Les actifs de réserve du pont volés ont été convertis en environ 2 183 ETH, dont environ 1 572 ETH ont été transférés vers Bitcoin via THORChain. Les 4 adresses Bitcoin détenant un total de 66,78 BTC sont sous surveillance 24h/24 et 7j/7. Ces fonds restent inutilisés.
• Prime Whitehat : Nous avons envoyé un message ouvert on-chain à l'attaquant, proposant une prime Whitehat de 10 % en échange du retour sécurisé des fonds volés. La fenêtre pour cette offre se termine le 25 février. Après cette date, tous les outils juridiques, techniques et d'enquête à notre disposition seront déployés sans réserve.
• Forces de l'ordre et partenaires de sécurité : Des rapports officiels ont été déposés auprès du FBI et de partenaires internationaux chargés de l'application de la loi. Nous coopérons activement aux demandes de préservation et aux actions de gel des actifs sur toutes les plateformes concernées.

Plan d'indemnisation complet et éligibilité

⭐️ Critères d'éligibilité : Tout détenteur de portefeuille possédant des actifs pontés légitimes depuis Ethereum (USDC, USDT, ETH, WBTC) détenus sur IoTeX L1 au moment de l'incident sera éligible à une indemnisation complète.

La Fondation IoTeX veillera à ce que chaque utilisateur affecté reçoive une compensation à 100 %. Afin de maximiser le nombre d'utilisateurs indemnisés immédiatement, nous mettons en place un modèle d'indemnisation à paliers :

Palier 1 : Récupération complète immédiate

• Éligibilité : Solde total affecté jusqu'à 10 000 USD (équivalent).
• Résolution : 100 % des actifs perdus pourront être réclamés en stablecoins ou en actifs natifs sur Ethereum dès le lancement du Portail de réclamation.
• Impact : Le Palier 1 couvre plus de 90 % des utilisateurs affectés, garantissant que la grande majorité de la communauté IoTeX reçoive une indemnisation immédiate.

Palier 2 : Récupération complète échelonnée (avec bonus)

• Éligibilité : Solde total affecté dépassant 10 000 USD (équivalent).
• Résolution : Les premiers 10 000 USD seront disponibles pour une réclamation immédiate dès le lancement du Portail de réclamation. Le solde excédentaire sera distribué en tranches trimestrielles égales sur 12 mois. Les demandeurs du Palier 2 recevront également un bonus supplémentaire de 10 % sur la portion différée, payé en IOTX en même temps que chaque tranche trimestrielle, au prix alors en vigueur de l'IOTX, et staké pendant 12 mois à partir de chaque émission.
• Impact : Le Palier 2 garantit que les ~10 % d'utilisateurs disposant de plus de 10 000 USD de fonds impactés soient indemnisés intégralement, avec en plus un bonus IOTX de 10 % sur la portion différée, tout en maintenant la stabilité à long terme du réseau IoTeX.

Remarque : toute adresse identifiée par les partenaires de sécurité comme appartenant à l'attaquant, associée à des entités liées à l'exploit, ou participant à un arbitrage post-exploit, ne sera pas éligible à une indemnisation.

Portail de réclamation et processus de récupération

Afin de garantir un processus vérifiable et simplifié pour indemniser tous les utilisateurs affectés, la Fondation IoTeX lance une adresse de dépôt de récupération et un Portail de réclamation qui permettront aux utilisateurs affectés de demander et de recevoir une indemnisation de manière sécurisée. Ceux-ci seront disponibles à partir du vendredi 27 février.

De manière générale, l'adresse de dépôt de récupération sur la blockchain IoTeX servira de hub de dépôt pour les actifs pontés (côté IoTeX) qui reflètent les actifs affectés (côté Ethereum) qui ont été volés. Une fois les actifs pontés (côté IoTeX) transférés vers l'adresse de dépôt de récupération, les utilisateurs affectés soumettront une réclamation via le Portail de réclamation avec des informations concernant leur portefeuille, le(s) actif(s) impacté(s), le(s) hash de transaction de dépôt, et leurs coordonnées. Une fois la réclamation vérifiée, la Fondation IoTeX émettra le montant équivalent des actifs déposés sur la blockchain Ethereum aux utilisateurs affectés. Le processus complet est détaillé ci-dessous.

Étape 1 : Adresse officielle de dépôt de récupération et lien du Portail de réclamation

La Fondation IoTeX partagera une adresse officielle de dépôt de récupération et un lien vers le Portail de réclamation via des canaux vérifiés (site officiel IoTeX, Twitter/X, Discord et Telegram) le vendredi 27 février.

⚠️ AVERTISSEMENT DE SÉCURITÉ : Ne faites jamais confiance à des informations envoyées par message privé (DM) ou provenant de sources non vérifiées. Vérifiez l'adresse et le lien sur au moins deux canaux officiels IoTeX avant de procéder.

Étape 2 : Préparation des actifs et dépôt

1. Retirer les actifs : Si vos actifs pontés affectés (WBTC, ETH, USDC, USDT) sont actuellement déployés dans des protocoles DeFi sur IoTeX (tels que des plateformes de prêt ou des pools de liquidité), veuillez les retirer vers votre portefeuille IoTeX. Si vos actifs se trouvent déjà dans votre portefeuille IoTeX, vous pouvez ignorer cette étape.
2. Vérification du portefeuille : assurez-vous d'avoir accès à l'adresse de votre portefeuille IoTeX sur la blockchain Ethereum, car l'indemnisation sera effectuée vers la même adresse de portefeuille sur Ethereum. Si vous ne pouvez pas accéder facilement à votre adresse de portefeuille IoTeX sur Ethereum (par exemple, les utilisateurs de Ledger), transférez vos actifs vers un seul nouveau portefeuille IoTeX accessible à la fois sur IoTeX et sur Ethereum. NE FRACTIONNEZ PAS le solde de vos actifs individuels sur plusieurs portefeuilles (par exemple, 100 USDT -> 50 USDT, 25 USDT, 25 USDT), car cela entraînerait une perte d'éligibilité.
3. Transfert : Envoyez les actifs pontés affectés directement depuis votre portefeuille IoTeX vers l'adresse de dépôt de récupération désignée en une seule transaction par type d'actif (par exemple, une seule transaction pour l'ETH, une seule transaction pour le WBTC, etc.) et enregistrez chaque hash de transaction individuel.

⚠️ REMARQUE DE CONFORMITÉ : Avant d'envoyer les actifs pontés affectés vers l'adresse de dépôt de récupération, NE FRACTIONNEZ PAS vos soldes d'actifs sur plusieurs portefeuilles et ne restructurez pas vos actifs pour contourner les seuils de palier. Toute violation de ces règles entraînera un signalement des réclamations, un traitement retardé, ou une perte d'éligibilité. Tout portefeuille lié à l'attaquant ou à des activités malveillantes post-exploit sera signalé comme inéligible à l'indemnisation.

Étape 3 : Soumission de la réclamationUne fois votre dépôt vers l'adresse de dépôt de récupération confirmé on-chain, soumettez une réclamation formelle via le Portail de réclamation après son lancement le vendredi 27 février avec les informations suivantes :

• Adresse du portefeuille IoTeX ayant déposé des actifs vers l'adresse de dépôt de récupération
• Types et montants des actifs déposés vers l'adresse de dépôt de récupération
• Hashs de transaction de vos dépôts (un hash par type d'actif)
• Coordonnées (e-mail, Telegram, et/ou Discord)

Étape 4 : Vérification et paiement

La Fondation IoTeX examinera et vérifiera chaque réclamation par rapport aux données on-chain et aux transactions de dépôt réelles effectuées par chaque utilisateur. L'indemnisation sera ensuite effectuée en conséquence sur la blockchain Ethereum selon les paliers mentionnés ci-dessus (c.-à-d. Palier 1 : ≤10k$, Palier 2 : >10k$) une fois l'examen et la vérification terminés.

Étape 5 : Transparence continue

La Fondation publiera des rapports de récupération périodiques détaillant le volume de réclamations reçues, la valeur totale traitée, et le statut des obligations restantes.

Un message de la Fondation IoTeX

Nous assumons l'entière responsabilité de cet incident, et nous agissons avec urgence pour indemniser intégralement chaque utilisateur affecté. La Fondation IoTeX procédera à un audit de sécurité indépendant de toute l'infrastructure du pont et s'engage à partager ouvertement les résultats et à mettre en œuvre des garde-fous structurels pour empêcher que cela ne se reproduise jamais. La force de tout réseau se mesure finalement à la façon dont il répond à l'adversité, et nous avons l'intention de fixer la norme.

Malgré cet exploit du pont, les fondamentaux du réseau IoTeX restent solides – la blockchain IoTeX L1 demeure sécurisée, notre équipe principale reste intacte et plus déterminée que jamais, et la passion de notre communauté à construire l'avenir du DePIN et de l'IA du monde réel demeure inébranlable. Les meilleurs jours d'IoTeX sont encore à venir. Merci pour votre patience et votre soutien continu.

- La Fondation IoTeX