IoTeXブリッジが攻撃被害…「48時間以内に復旧・補償案を公表」

IoTeX（アイオテックス）は、マルチチェーンブリッジ「ioTube」でセキュリティ侵害が発生したと明らかにした。

23日にIoTeXのX（旧Twitter）で公表した内容によると、今回の事故は21日に発生し、ioTubeのイーサリアム側ブリッジコントラクトが攻撃対象となった。IoTeXチームは事故を把握後、直ちに緊急対応体制へ移行したという。攻撃はイーサリアム側ブリッジコントラクトに限られ、レイヤー1チェーンと主要資産には影響がなかったと説明した。

IoTeXは「IoTeXレイヤー1チェーンとコンセンサスメカニズム、ネイティブのスマートコントラクトは侵害されていない」とし、「IoTeXチェーン上のIOTXトークンおよび中央集権型取引所が保有する資産は安全だ」と述べた。BSCおよびBaseチェーン側のブリッジコントラクトも影響を受けていないと付け加えた。

攻撃者はイーサリアム側のバリデーターコントラクトのオーナーアカウントを乗っ取ったうえで、コントラクトを悪性バージョンにアップグレードし、署名および検証プロセスを迂回したとみられる。その後、MintPoolとTokenSafeを掌握して4億1000万CIOTXを発行し、ブリッジ準備金から約440万米ドル相当の資産を流出させた。

IoTeXは、発行された4億1000万CIOTXのうち86%超をすでにロックまたは凍結したと明らかにした。12.8%に当たる5240万IOTXはバイナンスへ移動したことが確認され、現在、凍結に向けて協力していると説明した。分散型取引所（DEX）で交換された170万IOTX（0.4%）のみが、実質的な損失リスクにさらされているという。

ブリッジ準備金資産は約2183 ETHに転換され、このうち約1572 ETHがThorchainを通じてビットコインにブリッジされたとみられる。IoTeXは現在、4つのビットコインアドレスで合計66.78 BTCを確認しており、当該アドレスを24時間監視していると明らかにした。

IoTeXは現在、チェーンのパッチを配布中で、十分な数のバリデーターがアップデートを完了すればネットワーク運用は自動的に正常化すると説明した。取引所の出金は24〜48時間以内に再開される見通しで、ブリッジは独立したセキュリティ監査を終えるまで全チェーンで停止する。

また、48時間以内に被害ユーザー向けの補償計画を発表し、コミュニティ向けのオンライン質疑応答（AMA）を実施する予定だ。法執行機関およびオンチェーン分析企業とも連携しており、攻撃者アドレスに対してホワイトハット報奨金の提案をオンチェーンメッセージで送る計画だという。

一方、IoTeXはマルチシグおよび24時間タイムロックの導入、ブリッジ検証者の分散化に向けたガバナンス提案（IIP-55）の加速、取引上限の設定およびバグバウンティプログラムの拡充など、追加のセキュリティ強化策を推進すると付け加えた。