IoTeX si impegna nel piano di risarcimento del 100% nel piano di recupero dall'hack

La Fondazione IoTeX si è impegnata a fornire un risarcimento completo a tutti gli utenti colpiti dall'attacco al bridge da 4,4 milioni di dollari della scorsa settimana, poiché ha promesso di utilizzare i fondi del tesoro per risarcire le vittime, indipendentemente dal fatto che IoTeX sia in grado di recuperare le attività rubate dall'attaccante.

L'annuncio è arrivato dal terzo aggiornamento sull'incidente, dopo che il mainnet di IoTeX ha ripreso le operazioni complete il 24 febbraio, dopo due giorni di aggiornamenti di sicurezza che hanno inserito in blacklist permanente 29 indirizzi degli hacker e congelato circa 45 milioni di token IOTX.

L'attacco ha portato a un immediato crollo del prezzo di circa il 22%, scendendo da $0,0054 a circa $0,0042. Il token ha tentato più volte di recuperare le valutazioni pre-attacco, negli scambi attualmente intorno a $0.0048.

Risarcimento finanziato dal tesoro indipendentemente dall'esito del recupero

Nel suo ultimo rapporto, il progetto IoTeX ha dichiarato che "La Fondazione IoTeX garantirà che ogni utente interessato riceva il 100% del risarcimento." 

Hanno anche sviluppato un quadro di compensazione che divide gli utenti in due livelli. 

• Il Livello 1 copre le perdite fino a $10.000, che rappresentano la grande maggioranza delle vittime. Riceveranno un risarcimento completo immediatamente in stablecoin o in asset Ethereum nativi.
• Gli utenti del Livello 2 con perdite superiori a $10.000 riceveranno i primi $10.000 immediatamente, e i loro saldi verranno distribuiti nell'arco di 12 mesi. Riceveranno anche un bonus del 10% in IOTX annualmente staked, permettendo loro di ricevere il 110% delle loro perdite originali.

Il processo di compensazione inizierà venerdì 27 febbraio, quando IoTeX pubblicherà il suo Indirizzo di Deposito per il Recupero ufficiale e il Portale delle Richieste. 

Gli utenti interessati devono prelevare qualsiasi attività bridge dai protocolli DeFi, trasferirle all'Indirizzo di Deposito per il Recupero in transazioni singole per tipo di asset e poi presentare le richieste con gli indirizzi dei wallet e gli hash delle transazioni.

La Fondazione verificherà poi ogni richiesta contro i dati on-chain prima di emettere il risarcimento su Ethereum. Tuttavia, agli utenti viene consigliato di non dividere i propri saldi o ristrutturare le partecipazioni per aggirare le soglie dei livelli, poiché tali azioni comporteranno richieste segnalate e perdita di eleggibilità.

L'aggiornamento del mainnet blocca permanentemente l'accesso degli attaccanti

Il mainnet di IoTeX è pienamente operativo dal 27 febbraio 24, con Coinbase e MEXC tra i primi a ripristinare la funzionalità completa. Successivamente, Binance e Upbit hanno abilitato i prelievi, mentre Bitget, Gate.io, OKX, Bithumb, KuCoin, HashKey Global e BitMart stanno tornando gradualmente online. 

IoTeX ha coordinato con oltre 20 partner exchange e ha presentato documentazione formale alla DAXA (Korean Digital Asset Exchange Association).

La patch di sicurezza ha congelato circa 45 milioni di token IOTX detenuti in wallet controllati dagli attaccanti. Secondo il progetto, "Questi fondi sono ora permanentemente inaccessibili all'attaccante. Nessuna transazione che coinvolge questi indirizzi verrà mai più elaborata."

Il team di IoTeX ha anche sviluppato ioTrace per mappare il movimento dei fondi rubati attraverso le blockchain in tempo reale, permettendo di tracciare prove critiche su più catene, exchange e anni di cronologia delle transazioni.

IoTeX prevede anche di rendere ioTrace open source in modo che altri progetti possano lanciare indagini indipendenti senza dipendere da altri fornitori.

La Fondazione ha anche tracciato più attività rubate su diverse catene. Sembra che l'attaccante abbia scambiato alcuni token per 2.183 ETH, convertendo poi i fondi in Bitcoin (66,78 BTC) attraverso THORChain. 

IoTeX ha identificato quattro indirizzi Bitcoin che attualmente detengono le attività rubate e sta coordinando con gli exchange pertinenti per monitorare eventuali tentativi di deposito.

Mainnet ripristinato con fondi attaccanti congelati in 24 ore 

Quando l'attacco al bridge ioTube è stato rilevato il 21 febbraio, IoTeX è passato all'azione immediatamente. Sembra che l'attaccante abbia compromesso la chiave privata del proprietario di un validator su Ethereum, abbia aggiornato il contratto per bypassare tutti i controlli di sicurezza prima di drenare $4,4 milioni di riserve, e abbia poi coniato 410 milioni di token CIOTX.

Rapporti iniziali calcolavano cifre fino a $8,8 milioni, ma IoTeX ha dichiarato che il 99% dei token coniati era bloccato o congelato, mentre solo 0.4% sono stati liquidati attraverso DEX. 

L'amministratore delegato di IoTeX, Raullen Chai, ha anche offerto all'hacker un premio del 10% se avesse restituito l'altro 90% dei fondi rubati entro due giorni. Nessuno ha risposto fino alla scadenza di ieri.

Tuttavia, il giorno successivo, il mainnet di IoTeX era di nuovo online, e il team di sviluppo ha distribuito Mainnet v2.3.4 il 24 febbraio, dopo aver coordinato con altri 36 delegati della rete per implementare robuste misure di sicurezza.

L'aggiornamento ha inserito in blacklist permanente tutti i 29 indirizzi dei wallet degli attaccanti identificati a livello di protocollo blockchain, assicurando che quegli indirizzi non possano mai elaborare un'altra transazione.

Piani di sicurezza a lungo termine messi in atto

Oltre all'immediato aggiornamento del mainnet, IoTeX sta anche implementando IIP-55, un protocollo di governance che sposterà le operazioni del bridge verso un comitato di validatori decentralizzati, eliminando così il punto di guasto che ha consentito l'attacco.

Il progetto ha anche messo in atto varie altre misure, aggiungendo controlli multi-firma e time-lock sulle operazioni privilegiate, un audit indipendente dell'infrastruttura ioTube, interruttori di sicurezza on-chain, programmi di gestione delle credenziali e un programma di bug bounty più ampio.