THORChain hat den Handel auf 10 Blockchain-Netzwerken ausgesetzt, nachdem ein Verarbeitungsfehler bei einer Ethereum-Transaktion eine nicht autorisierte Rückerstattung von 10 ETH auslöste und die Cross-Chain-Swaps vorübergehend störte, die von nordkoreanischen Hackern genutzt werden, um Erlöse aus der Sicherheitsverletzung von Binance in Höhe von 6,3 Milliarden US-Dollar zu waschen.

THORChain ist ein dezentrales Liquiditätsprotokoll, das Nutzern den Tausch von Assets über verschiedene Blockchains hinweg ohne zentralen Vermittler ermöglicht – ein Design, das es wiederholt in den Weg von Geldern gestellt hat, die von großen Krypto-Plattformen gestohlen wurden.

Der Vorfall vom 31. Oktober aktivierte eine automatische Solvenzwarnung und löste eine Notfallmaßnahme der Node-Betreiber aus, die Auszahlungen und Handel aussetzten, während die Entwickler die Schwachstelle untersuchten. Der betroffene Nutzer gab die 10 ETH anschließend zurück, wodurch der Tresorbestand wiederhergestellt wurde.

Die Störung unterbrach auch den Fluss der gestohlenen Binance-Assets durch THORChain, das bereits rund 44 Millionen US-Dollar an Transaktionen im Zusammenhang mit dem Angriff abgewickelt hatte. Zum 1. November blieb der Handel auf Bitcoin, Ethereum, Solana, Tron, BNB Smart Chain, Cosmos, Bitcoin Cash, Dogecoin, Litecoin und Zcash ausgesetzt, während Avalanche, Base, THORChains natives RUNE-Netzwerk und der XRP Ledger in Betrieb blieben.

Ethereum-Reorganisation löst THORChain-Notabschaltung aus

Der Vorfall begann am 31. Oktober um 11:34 UTC, als Ethereum eine Blockreorganisation erlebte, die eine 10-ETH-Einzahlung entfernte, die THORChain zuvor erkannt hatte. Reorganisationen treten auf, wenn das Netzwerk einen kürzlich hinzugefügten Block durch eine konkurrierende Version ersetzt, wodurch Transaktionen, die als bestätigt galten, kurzzeitig aus der kanonischen Chain verschwinden können. Das Protokoll hatte die Einzahlung bereits gutgeschrieben, bevor die Transaktion aus Ethereums kanonischer Chain verschwand. Als der zugehörige Swap seine Preisbedingungen nicht erfüllte, erstattete THORChain Mittel zurück, die sein Tresor nie tatsächlich erhalten hatte. Die legitime Einzahlung des Absenders wurde ebenfalls erstattet, wodurch beim Protokoll ein vorübergehendes Defizit von 10 ETH entstand.

THORChains automatischer Solvenzprüfer erkannte die Diskrepanz und stoppte die Ethereum-Swaps. Die Node-Betreiber setzten das Signieren von ETH-Transaktionen rund zwei Minuten später aus und dehnten die Beschränkungen dann auf andere Netzwerke aus.

Obwohl die fehlenden 10 ETH anschließend zurückgegeben wurden, identifizierten die Entwickler eine potenzielle Schwachstelle im Umgang des Protokolls mit reorganisierten Transaktionen. Ein Angreifer könnte dasselbe Verhalten bei künftigen Blockreorganisationen ausnutzen, um unberechtigte Auszahlungen auszulösen. Die Core-Entwickler bereiten Korrekturen vor, und die Node-Betreiber entscheiden, wann einzelne Netzwerke den Handel sicher wieder aufnehmen können.

Binance-Hacker bewegen 242 Millionen US-Dollar über Tron

Die Handelssperre fiel mit Versuchen zusammen, Gelder aus der record Binance-Sicherheitsverletzung von 6,3 Milliarden US-Dollar zu waschen, die US-Behörden der nordkoreanischen Operation TraderTraitor zuschreiben – der Bezeichnung, die US-Behörden für nordkoreanische Kampagnen gegen Krypto-Plattformen verwenden.

Der Blockchain-Ermittler SomaXBT verfolgte rund 242 Millionen US-Dollar an gestohlenen Assets, die über zwei Tage durch Tron bewegt wurden, darunter etwa 194 Millionen US-Dollar, die über Cross-Chain-Bridges und Swap-Dienste geleitet wurden. Solche Dienste ziehen Ermittler auf sich, weil jeder Hop sowohl die Chain als auch den Token wechselt, der die gestohlenen Gelder trägt. Relay wickelte rund 48 Millionen US-Dollar ab, gefolgt von THORChain mit 44 Millionen, Chainflip mit 32,1 Millionen und Symbiosis mit 16 Millionen US-Dollar.

Die Angreifer zahlten laut Berichten 185,1 Millionen TRX und 3,83 Millionen USDT über 2.697 Transaktionen in THORChain ein und erhielten ETH und BTC über zahlreiche Zieladressen. Die unerwartete Abschaltung blockierte vorübergehend weitere Swaps über die betroffenen Netzwerke und unterbrach einen Teil der Wäscheoperation, wobei bereits abgeschlossene Transaktionen nicht rückgängig gemacht wurden.

Das FBI hat TraderTraitor formell als verantwortlich für den Binance-Diebstahl identifiziert und THORChain-Node-Betreiber, Börsen sowie Dezentral-Finance-Dienste aufgefordert, Adressen im Zusammenhang mit den gestohlenen Geldern zu blockieren. THORChains technischer Mitgründer Chad Barraford erklärte, die Node-Betreiber besäßen keine Informationen über die öffentlich verfügbaren Blockchain-Daten hinaus, verpflichtete sich jedoch nicht, die identifizierten Adressen zu blockieren.

Die Kontroverse erinnert an die Wäsche der Gelder aus dem Bybit-Hack von 1,5 Milliarden US-Dollar, als THORChain zu einer Haupt route für die Umwandlung von gestohlenem Ethereum in Bitcoin wurde. Im Gegensatz zu zentralisierten Börsen bietet THORChain derzeit keinen Mechanismus, um einzelne Transaktionen selektiv zu blockieren; seine Notfallkontrollen gelten für gesamte Netzwerke und betreffen legitime Nutzer ebenso wie mutmaßliche Kriminelle.

Mit der Behebung des 10-ETH-Defizits ist die unmittelbare finanzielle Diskrepanz behoben. Die meisten betroffenen Netzwerke bleiben jedoch bis zu technischen Korrekturen ausgesetzt, wodurch THORChain erneut hinsichtlich der Cross-Chain-Sicherheit und des Flusses illegaler Kryptowährungen unter Beobachtung gerät.