THORChain aktivierte am 31. Oktober 2026 seine Notfallbremse, nachdem eine Reorganisation der Ethereum-Blockchain dazu geführt hatte, dass das Cross-Chain-Protokoll dieselbe Einzahlung zweimal erstattete. Die Unterbrechung hatte einen Nebeneffekt mit Auswirkungen über eine einzelne fehlerhafte Auszahlung hinaus: Laut dem Blockchain-Analyseunternehmen Chainalysis fiel die Pause mit Bemühungen zusammen, aus Binance gestohlene Gelder zu waschen, und verlangsamte diese vorübergehend.

Was auf der Chain geschah

Am 31. Oktober 2026 durchlief Ethereum eine unerwartete Reorganisation, meist als Reorg bezeichnet. THORChain gab daraufhin fälschlicherweise eine doppelte Rückerstattung für eine Einzahlung von 10 ETH aus.

Ein Reorg lässt sich als gemeinsames Notizbuch vorstellen, in das mehrere Personen Transaktionen eintragen. Zwei Schreiber verzeichnen kurzzeitig unterschiedliche Versionen der letzten Seite, und die Gruppe reißt schließlich eine Version heraus und behält die andere. Technisch gesehen ersetzt das Netzwerk kürzlich bestätigte Blöcke durch eine konkurrierende Blockkette. Transaktionen, die als final erschienen, können ihre Position verschieben, verschwinden oder an anderer Stelle wieder auftauchen. Tiefe Reorgs auf großen Netzwerken wie Ethereum sind selten, doch automatisierte Protokolle, die auf rohe Chain-Daten reagieren, sind genau die Systeme, die bei einem solchen Ereignis am stärksten exponiert sind.

Für ein Cross-Chain-Protokoll, das Ethereum überwacht und auf Einzahlungen reagiert, entsteht daraus eine konkrete Gefahr. Wird die vom Protokoll beobachtete Historie umgeschrieben, kann es dasselbe Ereignis zweimal verarbeiten. In diesem Fall bedeutete das, eine einzelne 10-ETH-Einzahlung zweimal zurückzuzahlen.

Die doppelte Rückerstattung löste THORChains Notfallpause aus. Handel und Swaps wurden auf 12 der 13 vom Protokoll unterstützten Chains gestoppt.

Die Stilllegung war nicht vollständig. Die ausgehende Signierung blieb auf den meisten betroffenen Chains aktiv, sodass einige Transaktionen das Netzwerk noch verlassen konnten, während die Swaps eingefroren waren.

Wie die Notfallpause funktioniert

THORChain wird von Node-Betreibern betrieben, und dessen Regeln erlauben ihnen, während einer Untersuchung die Netzwerkintegrität über die Verfügbarkeit zu stellen.

Eine solche Unterbrechung kann bis zu 720 Blöcke dauern, also etwa 1,5 Stunden. Weitere Abstimmungen der Nodes können sie verlängern.

Der Mechanismus funktioniert wie ein Stromschutzschalter. Statt mit Daten weiterzuarbeiten, die das Netzwerk als verdächtig einstuft, stoppt es, gibt den Node-Betreibern Zeit zur Untersuchung und lässt eine erneute Abstimmung entscheiden, wann der Handel wieder aufgenommen wird. Traditionelle Aktienmärkte verhängen aus demselben Grund ähnliche Handelsheraussetzungen: einen Fehler eindämmen, bevor er sich verstärkt.

Die Binance-Verbindung

Das Ungewöhnliche an dem Vorfall ist, wer sonst noch betroffen war. Chainalysis brachte die Notfall-Unterbrechung mit aus Binance gestohlenen Geldern in Verbindung und ordnete die Waschaktivität DPRK-Akteuren zu, also Gruppen mit Bezug zu Nordkorea. Analysefirmen einschließlich Chainalysis haben einige der größten Kryptodiebstähle der Geschichte Gruppen mit DPRK-Verbindung zugeschrieben, und das Waschen solcher Erlöse erfordert typischerweise die Bewegung über Kanäle, auf denen sie in schwerer nachverfolgbare Assets umgetauscht werden können.

Da die Swaps auf 12 Chains eingefroren waren, musste jeder, der versuchte, diese Gelder über THORChain zu bewegen, warten. Das schnelle Verschieben von Assets zwischen Chains ist eine gängige Technik, um gestohlenes Geld schwerer zurückverfolgbar zu machen; selbst eine kurze Verzögerung gibt Ermittlern daher zusätzliche Zeit.

Die Pause selbst wurde durch den Ethereum-Reorg und die doppelte Rückerstattung ausgelöst, nicht durch eine gezielte Maßnahme gegen die gestohlenen Gelder. Der Befund von Chainalysis bedeutet, dass die Verzögerung zufällig auf Aktivitäten fiel, die mit dem Binance-Diebstahl in Verbindung stehen.

Nicht THORChains erste Unterbrechung

Der Vorfall war nicht die erste Betriebsunterbrechung des Protokolls in diesem Jahr. Anfang des Jahres hatte THORChain mit Exploits sowie mit Unterbrechungen im Zusammenhang mit ZEC und TRON zu tun. Diese Bilanz passt zu einem branchenweiten Muster: Cross-Chain-Bridges und Liquiditätsnetzwerke zählen laut Branchenberichten zu den am häufigsten angegriffenen Kategorien von Krypto-Infrastruktur, was viele Protokolle zu integrierten Pausenmechanismen und schnellerer Incident-Response bewegt hat.

Das Protokoll ist auf seinen nativen RUNE-Token angewiesen, um als dezentrales Liquiditätsnetzwerk zu funktionieren. Sein Kernangebot sind native Cross-Chain-Swaps, die nicht von einer zentralen Börse dazwischen abhängen.

Dieses Angebot hat einen Preis. Jede Chain, die THORChain hinzufügt, ist eine weitere Stelle, an der etwas schiefgehen kann, und ein Ereignis auf einer einzelnen Chain, etwa ein Ethereum-Reorg, kann eine Pause über nahezu das gesamte Netzwerk auslösen.

Was das für Nutzer und Protokoll bedeutet

Für Nutzer von THORChain veranschaulicht der Vorfall sowohl den Wert als auch die Grenzen des Sicherheitsnetzes. Die Notfallpause funktionierte wie vorgesehen: Sie erkannte eine Anomalie und stoppte die Aktivität, bevor sich weiterer Schaden aufstauen konnte. Praktisch blieben ausstehende Swaps unvollendet, bis die Node-Betreiber für die Fortsetzung stimmten, wobei die teilweise offene ausgehende Signierung für einige Transaktionen der einzige Weg aus dem Netzwerk war.

Die doppelte Rückerstattung war jedoch bereits erfolgt. Das Protokoll entdeckte den Fehler erst nach der Auszahlung, nicht davor.

Das führt zu einer grundsätzlicheren Frage für Cross-Chain-Liquiditätsprotokolle. Ihre Zuverlässigkeit hängt davon ab, wie gut sie mit fehlerhaften Daten der verbundenen Chains umgehen – einschließlich vorübergehender Daten, die später durch einen Reorg rückgängig gemacht werden.

Die Dimension der Illegalfinanzierung erschwert die Lage zusätzlich. Chainalysis' Verbindung zwischen der Unterbrechung und den mit DPRK-Akteuren in Zusammenhang gebrachten Erlösen des Binance-Diebstahls stellt THORChain erneut in eine wiederkehrende Debatte: Wie sollte ein dezentrales Protokoll reagieren, wenn gestohlene Gelder hindurchfließen?

Beobachtenswert ist unter anderem, ob die Node-Betreiber einer Verlängerung der Unterbrechung über das 720-Block-Fenster hinaus zustimmen, wie das Protokoll mit der zusätzlichen 10-ETH-Rückerstattung umgeht und ob THORChain seine Handhabung von Ethereum-Reorgs ändert.

Dieser Artikel basiert auf Berichterstattung von CryptoBriefing, redigiert von Estefano Gomez.