IoTeX verpflichtet sich zu einem 100%-Kompensationsplan im Hack-Wiederherstellungsplan

Die IoTeX Foundation hat sich verpflichtet, allen Nutzern, die von dem Brücken-Hack in der letzten Woche in Höhe von 4,4 Millionen US-Dollar betroffen waren, volle Entschädigung zu gewähren, da sie zugesagt hat, Treasury-Mittel zur Wiederherstellung der Opfer einzusetzen, unabhängig davon, ob IoTeX in der Lage ist, die gestohlenen Vermögenswerte vom Angreifer zurückzugewinnen.

Die Ankündigung stammt aus ihrem dritten Zwischenbericht, nachdem IoTeXs Mainnet am 24. Februar nach zwei Tagen von Sicherheits-Upgrades, die 29 Hacker-Adressen dauerhaft auf die schwarze Liste setzten und rund 45 Millionen IOTX-Token einfroren, den vollen Betrieb wieder aufgenommen hatte.

Der Hack führte zu einem sofortigen Kurseinbruch von rund 22 %, von 0,0054 $ auf rund 0,0042 $. Der Token hat mehrere Versuche unternommen, die Bewertungen vor dem Hack wiederzuerlangen, Handel die derzeit bei rund $0.0048 liegen.

Treasury-finanzierte Entschädigung unabhängig vom Wiederherstellungsergebnis

In seinem neuester Bericht, erklärte das IoTeX-Projekt, dass „die IoTeX Foundation sicherstellen wird, dass jeder betroffene Nutzer 100 % Entschädigung erhält.“ 

Sie entwickelten auch einen Entschädigungsrahmen, der Nutzer in zwei Stufen einteilt. 

• Stufe 1 deckt Verluste bis zu 10.000 $ ab, was die große Mehrheit der Opfer darstellt. Sie erhalten sofortige volle Entschädigung in Stablecoins oder nativen Ethereum-Assets.
• Nutzer der Stufe 2 mit Verlusten über 10.000 $ erhalten ihre ersten 10.000 $ sofort, und ihre Guthaben werden über 12 Monate verteilt. Sie erhalten zudem einen Bonus von 10 % in jährlich gestaketen IOTX, sodass sie 110 % ihrer ursprünglichen Verluste erhalten.

Der Entschädigungsprozess beginnt am Freitag, dem 27. Februar, wenn IoTeX seine offizielle Recovery Deposit Address und das Claims Portal veröffentlicht. 

Betroffene Nutzer müssen alle über Brücken übertragenen Vermögenswerte aus DeFi-Protokollen abheben, sie in einzelnen Transaktionen nach Asset-Typ an die Recovery Deposit Address überweisen und dann Ansprüche mit Wallet-Adressen und Transaktions-Hashes einreichen.

Die Foundation wird dann jeden Anspruch gegen On-Chain-Daten verifizieren, bevor sie die Entschädigung auf Ethereum ausstellt. Nutzer werden jedoch gewarnt, ihre Guthaben nicht aufzuteilen oder ihre Bestände umzustrukturieren, um die Stufenschwellen zu umgehen, da solche Aktionen zu markierten Ansprüchen und dem Verlust der Berechtigung führen.

Mainnet-Upgrade blockiert Angreiferzugriff dauerhaft

IoTeX Mainnet ist seit dem 24. Februar 24 voll betriebsbereit, mit Coinbase und MEXC unter den ersten, die die volle Funktionalität wiederhergestellt haben. Anschließend ermöglichten Binance und Upbit Auszahlungen, während Bitget, Gate.io, OKX, Bithumb, KuCoin, HashKey Global und BitMart schrittweise wieder online gehen. 

IoTeX koordinierte sich mit über 20 Börsenpartnern und reichte formale Dokumente bei DAXA (Korean Digital Asset Exchange Association) ein.

Das Sicherheits-Patch froh rund 45 Millionen IOTX-Token ein, die in von Angreifern kontrollierten Wallets gehalten wurden. Laut dem Projekt „Diese Mittel sind für den Angreifer nun dauerhaft unzugänglich. Keine Transaktion, die diese Adressen betrifft, wird jemals wieder verarbeitet.“

Das Team von IoTeX entwickelte auch ioTrace, um die Bewegung gestohlener Vermögenswerte über Blockchains in Echtzeit zu kartieren, was es ermöglicht, kritische Beweise über mehrere Chains, Börsen und Jahre von Transaktionsverläufen hinweg zu verfolgen.

IoTeX plant auch, ioTrace Open Source zu machen, damit andere Projekte unabhängige Untersuchungen starten können, ohne von anderen Anbietern abhängig zu sein.

Die Foundation verfolgte auch mehr gestohlene Vermögenswerte über mehrere Chains hinweg. Offenbar tauschte der Angreifer einige Token gegen 2.183 ETH ein und konvertierte die Mittel dann über THORChain in Bitcoin (66,78 BTC). 

IoTeX identifizierte vier Bitcoin-Adressen, die derzeit die gestohlenen Vermögenswerte halten, und koordiniert sich mit relevanten Börsen, um auf potenzielle Einzahlungsversuche zu überwachen.

Mainnet mit eingefrorenen Angreifer-Guthaben in 24 Stunden wiederhergestellt 

Als der ioTube-Brücken-Hack am 21. Februar entdeckt wurde, ging IoTeX sofort in die Aktion. Offenbar kompromittierte der Angreifer den privaten Schlüssel eines Validator-Eigentümers auf Ethereum, aktualisierte den Vertrag, um alle Sicherheitsprüfungen zu umgehen, und leerte dann 4,4 Millionen US-Dollar an Reserven, und münzte anschließend 410 Millionen CIOTX-Token.

Anfangsberichte berechneten Beträge von bis zu 8,8 Millionen US-Dollar, aber IoTeX erklärte, dass 99 % der gemünzten Token gesperrt oder eingefroren waren, während nur 0.4% über DEXs liquidiert wurden. 

Der CEO von IoTeX, Raullen Chai, bot dem Hacker auch eine 10%-Belohnung an, wenn er die anderen 90 % der gestohlenen Mittel innerhalb von zwei Tagen zurückgibt. Bis gestern, als die Frist abgelaufen war, reagierte niemand.

Am nächsten Tag war das Mainnet von IoTeX jedoch wieder online, und das Entwicklungsteam setzte Mainnet v2.3.4 am 24. Februar ein, nachdem es sich mit 36 anderen Netzwerk-Delegierten koordiniert hatte, um robuste Sicherheitsmaßnahmen zu implementieren.

Das Upgrade setzte alle 29 identifizierten Angreifer-Wallet-Adressen auf Protokollebene dauerhaft auf die schwarze Liste, sodass diese Adressen niemals wieder eine Transaktion verarbeiten können.

Langfristige Sicherheitspläne wurden umgesetzt

Neben dem sofortigen Mainnet-Upgrade implementiert IoTeX auch IIP-55, ein Governance-Protokoll, das die Brückenoperationen in ein dezentrales Validator-Komitee verschiebt und damit die Fehlerquelle eliminiert, die den Angriff ermöglichte.

Das Projekt setzte auch verschiedene andere Maßnahmen um, darunter Multi-Signatur- und Time-Lock-Kontrollen für privilegierte Operationen, eine unabhängige Prüfung der ioTube-Infrastruktur, On-Chain-Schalter, Credential-Management-Programme und ein größeres Bug-Bounty-Programm.