IoTeX s'engage dans un plan de compensation 100% dans son plan de récupération après piratage

La Fondation IoTeX s'est engagée à fournir une compensation intégrale à tous les utilisateurs touchés par le piratage du pont d'un montant de 4,4 millions de dollars survenu la semaine dernière, car elle a promis d'utiliser les fonds du trésor pour indemniser les victimes, que IoTeX soit en mesure ou non de récupérer les actifs volés auprès de l'attaquant.

L'annonce est issue de leur troisième mise à jour sur l'incident, suite à la reprise des opérations complètes du mainnet d'IoTeX le 24 février, après deux jours de mises à jour de sécurité qui ont définitivement blacklisté 29 adresses de pirates et gelé environ 45 millions de tokens IOTX.

Le piratage a entraîné un effondrement immédiat du prix d'environ 22%, passant de 0,0054 $ à environ 0,0042 $. Le token a tenté à plusieurs reprises de regagner ses valorisations d'avant le piratage, est en autour de 0.0048 actuellement.

Indemnisation financée par la trésorerie, quel que soit le résultat du recouvrement

Dans son dernier rapport, le projet IoTeX a déclaré que « La Fondation IoTeX veillera à ce que chaque utilisateur affecté reçoive une indemnisation de 100 % ». 

Ils ont également élaboré un cadre d'indemnisation divisant les utilisateurs en deux catégories. 

• La catégorie 1 couvre les pertes jusqu'à 10 000 $, ce qui représente la grande majorité des victimes. Ils recevront une indemnisation intégrale immédiatement en stablecoins ou en actifs Ethereum natifs.
• Les utilisateurs de la catégorie 2 ayant des pertes supérieures à 10 000 $ recevront leurs premiers 10 000 $ immédiatement, et le solde restant sera distribué sur 12 mois. Ils bénéficieront également d'une prime de 10 % en IOTX stakés annuellement, leur permettant de recevoir 110 % de leurs pertes initiales.

Le processus d'indemnisation débutera le vendredi 27 février, date à laquelle IoTeX publiera son adresse officielle de dépôt de récupération et son portail de réclamation. 

Les utilisateurs affectés doivent retirer tout actif ponté des protocoles DeFi, les transférer vers l'adresse de dépôt de récupération par type d'actif en une seule transaction, puis soumettre leurs réclamations avec leurs adresses de portefeuille et les hachages de transaction.

La Fondation vérifiera ensuite chaque réclamation par rapport aux données on-chain avant d'émettre une compensation sur Ethereum. Cependant, les utilisateurs sont avertis de ne pas fractionner leurs soldes ou restructurer leurs avoirs pour contourner les seuils de niveau, car de telles actions entraîneront des réclamations signalées et la perte de l'éligibilité.

La mise à jour du Mainnet bloque définitivement l'accès de l'attaquant

Le mainnet IoTeX est pleinement opérationnel depuis le 24, avec Coinbase et MEXC parmi les premiers à restaurer la pleine fonctionnalité. Par la suite, Binance et Upbit ont activé les retraits, tandis que Bitget, Gate.io, OKX, Bithumb, KuCoin, HashKey Global et BitMart reviennent progressivement en ligne. 

IoTeX a coordonné ses actions avec plus de 20 partenaires d'échanges et a soumis une documentation formelle à la DAXA (Association coréenne des échanges d'actifs numériques).

Le correctif de sécurité a gelé environ 45 millions de jetons IOTX détenus dans des portefeuilles contrôlés par l'attaquant. Selon le projet, « Ces fonds sont désormais définitivement inaccessibles à l'attaquant. Aucune transaction impliquant ces adresses ne sera jamais traitée à nouveau. »

L'équipe d'IoTeX a également développé ioTrace pour cartographier en temps réel les mouvements de fonds volés à travers les blockchains, permettant de retracer des preuves critiques sur plusieurs chaînes, plateformes d'échange et années d'historique de transactions.

IoTeX prévoit également de rendre ioTrace open source afin que d'autres projets puissent mener des enquêtes indépendantes sans dépendre d'autres fournisseurs.

La Fondation a également suivi plus d'actifs volés sur plusieurs chaînes. Apparemment, l'attaquant a échangé certains tokens contre 2 183 ETH, puis converti les fonds en Bitcoin (66,78 BTC) via THORChain. 

IoTeX a identifié quatre adresses Bitcoin détenant actuellement les actifs volés et coordonne avec les échanges pertinents pour surveiller toute tentative de dépôt potentielle.

Mainnet restauré avec les fonds de l'attaquant gelés en 24 heures 

Lorsque la faille du pont ioTube a été détectée le 21 février, IoTeX est passé immédiatement à l'action. Apparemment, l'attaquant a compromis la clé privée d'un propriétaire de validateur sur Ethereum, mis à niveau le contrat pour contourner toutes les vérifications de sécurité avant de vider 4,4 millions de dollars de réserves, puis a émis 410 millions de tokens CIOTX.

Rapports initiaux des chiffres calculés atteignant jusqu'à 8,8 millions de dollars, mais IoTeX a indiqué que 99 % des tokens mintés étaient verrouillés ou gelés, tandis que seulement 0.4% ont été liquidés via des DEX. 

Le PDG d'IoTeX, Raullen Chai, a également offert au pirate une récompense de 10% s'il restituait les 90 % restants des fonds volés dans un délai de deux jours. Personne n'a répondu avant l'expiration du délai hier.

Cependant, dès le lendemain, la mainnet d'IoTeX était de nouveau en ligne, et l'équipe de développement a déployé Mainnet v2.3.4 le 24 février, après avoir coordonné avec 36 autres délégués du réseau pour mettre en œuvre des mesures de sécurité robustes.

La mise à niveau a définitivement blacklisté toutes les 29 adresses de portefeuille attaquantes identifiées au niveau du protocole blockchain, garantissant que ces adresses ne pourront plus jamais traiter une transaction.

Des plans de sécurité à long terme ont été mis en place

Outre la mise à jour immédiate de la mainnet, IoTeX met également en œuvre IIP-55, un protocole de gouvernance qui transférera les opérations de pont à un comité de validateurs décentralisé, éliminant ainsi le point de défaillance qui a permis l'attaque.

Le projet a également mis en place diverses autres mesures, ajoutant des contrôles multi-signatures et de verrouillage temporel sur les opérations privilégiées, un audit indépendant de l'infrastructure ioTube, des disjoncteurs sur chaîne, des programmes de gestion des identifiants et d'un programme de bug bounty plus important.