Pembaruan Insiden Keamanan: Eksploitasi ioTube Bridge dan Peta Jalan Pemulihan

Ringkasan Eksekutif

Pada 21 Februari 2026, tim IoTeX mengidentifikasi dan beralih ke respons darurat setelah terjadinya pelanggaran keamanan yang memengaruhi ioTube, jembatan multi-chain IoTeX. Eksploitasi ini terisolasi secara khusus di sisi Ethereum. Kami menyediakan laporan komprehensif ini untuk menjelaskan apa yang terjadi, status dana, dan jalan kami ke depan untuk pemulihan dan kompensasi. Analisis forensik kami menunjukkan ini adalah operasi yang canggih dan profesional dengan kemungkinan koneksi ke eksploitasi DeFi bernama besar sebelumnya. Rincian atribusi penuh akan disertakan dalam laporan pasca-mortem.

Apa yang Aman

Pertama dan terutama, kami ingin memperjelas lingkup insiden ini untuk meyakinkan komunitas kami:

• Rantai IoTeX L1 Aman: Rantai Layer 1 IoTeX, mekanisme konsensusnya, dan semua kontrak pintar yang ada TIDAK terkompromi.
• Aset Pengguna di IoTeX & Bursa Aman: Token IOTX Anda di rantai IoTeX dan di bursa terpusat tidak terpengaruh.
• Eksploitasi Terisolasi: Pelanggaran ini terisolasi secara ketat pada kontrak jembatan sisi Ethereum ioTube. Kontrak jembatan di rantai lain seperti BSC dan Base tidak terpengaruh.

Insiden: Penyebab Utama & Rincian Teknis

Serangan ini menargetkan sisi Ethereum dari jembatan ioTube melalui rantai canggih empat langkah:

1. Kompromi Kunci Validator: Akun pemilik dari kontrak Validator di Ethereum telah terkompromi, memberikan kendali administratif kepada penyerang.
2. Peningkatan Berbahaya: Penyerang menggunakan akses ini untuk memperbarui kontrak Validator ke versi berbahaya yang melewati semua pemeriksaan tanda tangan dan validasi.
3. Pengambilalihan Kontrak: Dengan lapisan validator yang terpengaruh, penyerang mengambil alih MintPool (pencetakan token) dan TokenSafe (aset cadangan).
4. Pembuangan Aset: Penyerang mencetak 410M CIOTX dan menguras sekitar $4,4 juta dalam berbagai token dari cadangan jembatan.

Status Aset Saat Ini & Upaya Pemulihan

Kami mendeteksi insiden ini dalam waktu beberapa jam dan mengambil tindakan segera untuk membatasi kerusakan. Pelacakan on-chain kami mengkonfirmasi bahwa sebagian besar aset yang dicuri sudah diamankan:

Bagian A: 410M CIOTX (MintPool)

Penyerang mencetak 410M CIOTX. Melalui protokol respons cepat kami, lebih dari 86% dari semua token yang dicetak sudah terkunci atau dibekukan — aset yang dapat kami amankan langsung melalui kontrol tingkat rantai kami sendiri. Sebanyak 12,8% (52,4M IOTX) telah dilacak ke Binance, di mana kami aktif bekerja dengan Binance dan mitra perdagangan untuk membekukan. Hanya 0,4% (1,7M) yang ditukar di DEX dan dianggap berisiko.

• Ethereum & Base (315M CIOTX): Ini sepenuhnya terkunci tanpa likuiditas atau jalur jembatan.
• Rantai IoTeX (95M IOTX): Aktif Memulihkan. Pelacakan on-chain lengkap telah selesai. Dari 95M:
  • 40,5M masih di dompet penyerang — Kami telah mengidentifikasi 29 alamat yang dikendalikan penyerang di rantai IoTeX dan mem blacklisting semuanya melalui patch tingkat rantai. Saat ini, kami mendistribusikan patch kepada delegasi rantai.
  • 52,4M telah disetorkan ke Binance — dari jumlah tersebut, 41,6M telah diarahkan melalui mitra perdagangan (Easybit, ChangeNow, dll.). Kami bekerja aktif dengan Binance dan mitra perdagangan ini untuk membekukan semua dana yang disetorkan.

1,7M telah ditukar di DEX — sudah dikonversi ke token lain. Ini adalah satu-satunya bagian yang dianggap berisiko, yang mewakili hanya 0,4% dari total CIOTX yang dicetak.

Bagian B: Cadangan Jembatan (TokenSafe)

Penyerang mengubah token cadangan yang dicuri (termasuk USDC, USDT, WBTC, WETH, dan aset lainnya) menjadi sekitar 2,183 ETH. Dari jumlah ini, sekitar 1,572 ETH telah dijembatani ke Bitcoin melalui THORChain, dengan sisanya tersebar di alamat Ethereum menengah yang sedang dipantau aktif.

• Status: Kami telah mengidentifikasi 4 alamat Bitcoin yang memegang total 66.78 BTC.
  • 12V7jhcPnqnGbRFMasSW2CZVBd8qpvUgAK
  • 16xusPKLMyqK68SkhfXDtic6AJPDi51tqh
  • 1PN2BoHU4buDQWcrNHk9T9NBA2qX8oyYEc
  • 135oSa2fobTxtHtm5dwTREDyRY2o1DG1Aw
• Pemantauan: Hingga laporan ini diterbitkan, semua BTC tetap tidak terpakai. Alamat-alamat ini telah ditandai dan dalam pemantauan terus-menerus 24/7 oleh tim kami dan mitra analitik.

Tindakan Segera & Garis Waktu Pemulihan

Tim kami bekerja tanpa henti untuk mengembalikan layanan penuh:

• Rantai IoTeX L1: Kami mulai mendistribusikan patch kepada delegasi rantai sekarang; setelah kami memiliki cukup delegasi yang telah dipatch online, konsensus dan operasi normal akan dilanjutkan secara otomatis.
• Kegiatan Bursa: Kami memperkirakan penarikan akan dilanjutkan dalam 24–48 jam, dengan fungsi penyetoran mengikuti tidak lama setelahnya.
• AMA Komunitas: Kami akan menyelenggarakan AMA komunitas untuk detail lebih lanjut dalam 24–48 jam.
• Rencana kompensasi: Rencana kompensasi yang detail untuk pengguna jembatan yang terdampak akan diterbitkan dalam 48 jam.
• Jembatan ioTube: Operasi jembatan akan tetap ditangguhkan di semua rantai hingga audit keamanan independen penuh selesai. Kami juga akan mempercepat penerapan dan pelaksanaan IIP-55.
• Hukum & Forensik: Kami telah melibatkan penegak hukum dan perusahaan analitik on-chain terkemuka. Alamat penyerang telah ditandai di Etherscan sebagai 0x6487B5006904f3Db3C4a3654409AE92b87eD442f (diberi label sebagai Fake_Phishing2054654 di etherscan).
• Hadiah White-hat: Pesan on-chain akan dikirim kepada penyerang menawarkan hadiah white-hat untuk pengembalian dana secara sukarela.

Komitmen Kami kepada Pengguna

Kami sangat memprioritaskan keamanan aset komunitas kami. Kami berkomitmen penuh untuk memulihkan pengguna yang terdampak:

• Kompensasi: Rencana kompensasi yang detail untuk pengguna jembatan yang terdampak akan diterbitkan dalam 48 jam.
• Dukungan Sementara: Permintaan jembatan kembali akan diproses secara manual berdasarkan kasus per kasus selama periode ini.
• Transparansi: Kami akan mengadakan AMA komunitas dengan tim pendiri kami dalam 24-48 jam ke depan.

Jalan ke Depan: Memperkuat Keamanan Kami

Insiden ini adalah titik balik yang telah mendorong kami untuk menerapkan salah satu kerangka kerja keamanan yang paling tangguh dan multi-lapis untuk infrastruktur lintas rantai kami:

• Pemeriksaan Ulang yang Ketat: ioTube akan tetap ditangguhkan hingga audit keamanan independen penuh selesai dan semua kerentanan diperbaiki.
• Pemerintahan Terdesentralisasi: Kami memperkenalkan kontrol Multi-tanda tangan dan Kunci Waktu 24 jam untuk menghilangkan titik kegagalan tunggal. Kami juga akan mempercepat penerapan dan pelaksanaan IIP-55, sebuah proposal pemerintahan untuk mendesentralisasi validasi jembatan melalui set validator multi-pihak.
• Perlindungan Cerdas: Batasan volume harian dan per transaksi baru sedang diintegrasikan untuk secara proaktif membatasi risiko.
• Hadiah Bug Keamanan: Kami meluncurkan program Bug Bounty yang diperluas untuk berkolaborasi dengan komunitas white-hat global dalam mengamankan ekosistem kami.

Kami berterima kasih kepada komunitas IoTeX atas kesabaran dan dukungan terus-menerus saat kami bersama-sama menavigasi pemulihan ini.

Tim IoTeX