Mise à jour de l'incident de sécurité : Exploit du pont ioTube et feuille de route de récupération

Résumé exécutif

Le 21 février 2026, l'équipe IoTeX a identifié et a réagi en urgence suite à une violation de sécurité affectant ioTube, le pont multi-chaînes d'IoTeX. L'exploit a été isolé spécifiquement sur le côté Ethereum. Nous fournissons ce rapport complet pour décrire ce qui s'est passé, l'état des fonds et notre plan de récupération et de compensation. Notre analyse judiciaire indique qu'il s'agissait d'une opération sophistiquée et professionnelle avec des liens possibles avec des exploits DeFi à fort profile précédents. Tous les détails de l'attribution seront inclus dans le rapport post-mortem.

Qu'est-ce qui est sûr

Tout d'abord, nous souhaitons clarifier l'ampleur de cet incident pour rassurer notre communauté :

• La chaîne IoTeX L1 est sûre : La chaîne IoTeX Layer 1, son mécanisme de consensus et tous les contrats intelligents natifs n'ont PAS été compromis.
• Les actifs des utilisateurs sur IoTeX et les échanges sont sécurisés : Vos jetons IOTX sur la chaîne IoTeX et au sein des échanges centralisés ne sont pas affectés.
• Exploit isolé : La violation était strictement isolée aux contrats de pont Ethereum d'ioTube. Les contrats de pont sur d'autres chaînes comme BSC et Base n'ont pas été affectés.

L'incident : Cause racine & Analyse technique

L'attaque a ciblé le côté Ethereum du pont ioTube à travers une chaîne sophistiquée en quatre étapes :

1. Compromission de la clé du validateur : Le compte propriétaire du contrat de validateur sur Ethereum a été compromis, accordant à l'attaquant un contrôle administratif.
2. Mise à jour malveillante : L'attaquant a utilisé cet accès pour mettre à jour le contrat de validateur vers une version malveillante qui contournait tous les contrôles de signature et de validation.
3. Prise de contrôle du contrat : Avec la couche de validation subvertie, l'attaquant a pris le contrôle du MintPool (frappe de jetons) et de TokenSafe (actifs de réserve).
4. Drainage d'actifs : L'attaquant a frappé 410M CIOTX et a drainé environ 4.4M $ en divers tokens des réserves du pont.

État actuel des actifs & Efforts de récupération

Nous avons détecté l'incident dans les heures qui ont suivi et avons agi immédiatement pour contenir les dommages. Notre traçage on-chain confirme que la grande majorité des actifs volés sont déjà sécurisés :

Partie A : 410M CIOTX (MintPool)

L'attaquant a frappé 410M CIOTX. Grâce à notre protocole de réaction rapide, plus de 86 % de tous les jetons frappés sont déjà verrouillés ou en cours de gel — des actifs que nous pouvons sécuriser directement grâce à nos propres contrôles au niveau de la chaîne. Un supplémentaire de 12.8 % (52.4M IOTX) a été tracé vers Binance, où nous travaillons activement avec Binance et des partenaires commerciaux pour geler. Seuls 0.4 % (1.7M) ont été échangés sur DEX et sont considérés comme à risque.

• Ethereum & Base (315M CIOTX) : Ceux-ci sont complètement verrouillés sans chemin de liquidité ou de pont.
• Chaîne IoTeX (95M IOTX) : Récupération active. Le traçage complet on-chain est terminé. Parmi les 95M :
  • 40.5M reste dans les portefeuilles de l'attaquant — Nous avons identifié 29 adresses contrôlées par l'attaquant sur la chaîne IoTeX et nous les blacklistons toutes via un correctif au niveau de la chaîne. En ce moment, nous distribuons un correctif aux délégués de la chaîne.
  • 52.4M a été déposé chez Binance — dont 41.6M a été acheminé par le biais de partenaires commerciaux (Easybit, ChangeNow, etc.). Nous travaillons activement avec Binance et ces partenaires commerciaux pour geler tous les fonds déposés.

1.7M a été échangé sur DEX — déjà converti en d'autres tokens. C'est la seule portion considérée à risque, représentant seulement 0.4 % du total des CIOTX frappés.

Partie B : Réserves du pont (TokenSafe)

L'attaquant a converti les tokens de réserve volés (y compris USDC, USDT, WBTC, WETH et d'autres actifs) en environ 2,183 ETH. De ceux-ci, environ 1,572 ETH ont été transférés à Bitcoin via THORChain, le reste étant dispersé sur des adresses Ethereum intermédiaires sous surveillance active.

• État : Nous avons identifié 4 adresses Bitcoin contenant un total de 66.78 BTC.
  • 12V7jhcPnqnGbRFMasSW2CZVBd8qpvUgAK
  • 16xusPKLMyqK68SkhfXDtic6AJPDi51tqh
  • 1PN2BoHU4buDQWcrNHk9T9NBA2qX8oyYEc
  • 135oSa2fobTxtHtm5dwTREDyRY2o1DG1Aw
• Surveillance : À la date de ce rapport, tous les BTC restent non dépensés. Ces adresses sont signalées et sous surveillance continue 24/7 par notre équipe et nos partenaires analytiques.

Actions immédiates & Chronologie de reprise

Notre équipe travaille sans relâche pour restaurer l'ensemble des services :

• Chaîne IoTeX L1 : Nous commençons à distribuer le correctif aux délégués de la chaîne maintenant ; une fois que nous aurons suffisamment de délégués corrigés en ligne, le consensus et les opérations normales seront automatiquement repris.
• Activité sur les échanges : Nous prévoyons que les retraits reprennent dans 24 à 48 heures, la fonction de dépôt suivant peu après.
• AMA communautaire : Nous organiserons un AMA communautaire pour plus de détails dans 24 à 48 heures.
• Plan de compensation : Un plan de compensation détaillé pour les utilisateurs de pont concernés sera publié dans 48 heures.
• Pont ioTube : Les opérations du pont resteront suspendues sur toutes les chaînes jusqu'à ce qu'un audit de sécurité complet et indépendant soit terminé. Nous accélérerons également la mise en œuvre et le déploiement de IIP-55.
• Juridique & Forensique : Nous avons engagé les forces de l'ordre et des entreprises d'analytique on-chain de premier plan. Les adresses des attaquants ont été signalées sur Etherscan comme 0x6487B5006904f3Db3C4a3654409AE92b87eD442f (étiquetées comme Fake_Phishing2054654 sur etherscan).
• Prime de chasseurs de primes éthiques : Un message on-chain sera envoyé à l'attaquant offrant une prime pour le retour volontaire des fonds.

Notre engagement envers les utilisateurs

La sécurité des actifs de notre communauté est notre priorité absolue. Nous sommes pleinement engagés à rendre les utilisateurs concernés entiers :

• Compensation : Un plan de compensation détaillé pour les utilisateurs de pont concernés sera publié dans 48 heures.
• Soutien intérimaire : Les demandes de retour de pont seront traitées manuellement au cas par cas pendant cette période.
• Transparence : Nous organiserons un AMA communautaire avec notre équipe fondatrice dans les prochaines 24-48 heures.

La voie à suivre : Renforcement de notre sécurité

Cet incident constitue un tournant qui nous a poussés à mettre en œuvre l'un des cadres de sécurité les plus résilients et à plusieurs niveaux pour notre infrastructure inter-chaînes :

• Ré-audits rigoureux : ioTube restera en pause jusqu'à ce qu'un audit de sécurité complet et indépendant soit terminé et que toutes les vulnérabilités soient remédiées.
• Gouvernance décentralisée : Nous introduisons des contrôles de multi-signature et de verrouillage temporel de 24 heures pour éliminer les points uniques de défaillance. Nous accélérerons également la mise en œuvre et le déploiement de IIP-55, une proposition de gouvernance visant à décentraliser la validation des ponts grâce à un ensemble de validateurs multipartite.
• Mesures de sécurité intelligentes : De nouvelles limites de volume par transaction et quotidiennes sont en cours d'intégration pour contenir proactivement les risques.
• Prime de bugs de sécurité : Nous lançons un programme de prime de bugs élargi pour collaborer avec la communauté mondiale de chasseurs de primes éthiques afin de sécuriser notre écosystème.

Nous remercions la communauté IoTeX pour sa patience et son soutien continu alors que nous naviguons ensemble dans cette récupération.

L'équipe IoTeX