THORChain activó su freno de emergencia el 31 de octubre de 2026, después de que una reorganización de la blockchain de Ethereum provocara que el protocolo entre cadenas reembolsara el mismo depósito dos veces. La detención tuvo un efecto secundario con implicaciones que van más allá de un solo pago erróneo: según la firma de análisis de blockchain Chainalysis, la pausa coincidió con esfuerzos para lavar fondos robados de Binance, ralentizándolos temporalmente.

Qué ocurrió en la cadena

El 31 de octubre de 2026, Ethereum experimentó una reorganización inesperada, comúnmente conocida como reorg. THORChain entonces emitió por error un reembolso duplicado sobre un depósito de 10 ETH.

Una reorg puede visualizarse como un cuaderno compartido que varias personas usan para registrar transacciones. Dos escritores registran brevemente versiones diferentes de la última página, y el grupo finalmente arranca una versión y conserva la otra. En términos técnicos, la red descarta bloques recientemente confirmados en favor de una cadena de bloques competidora. Las transacciones que parecían finales pueden cambiar de posición, desaparecer o reaparecer en otro lugar. Las reorgs profundas en redes grandes como Ethereum son poco comunes, pero los protocolos automatizados que actúan sobre datos crudos de la cadena son precisamente los sistemas más expuestos cuando ocurre una.

Para un protocolo entre cadenas que monitorea Ethereum y responde a los depósitos, esto crea un riesgo específico. Si el historial que el protocolo observó se reescribe, puede actuar dos veces sobre el mismo evento. En este caso, eso significó reembolsar dos veces un solo depósito de 10 ETH.

El reembolso duplicado activó la pausa de emergencia de THORChain. El trading y los swaps se detuvieron en 12 de las 13 cadenas que el protocolo admite.

El apagón no fue total. La firma de transacciones salientes permaneció activa en la mayoría de las cadenas afectadas, lo que significa que algunas transacciones aún podían salir de la red mientras los swaps estaban congelados.

Cómo funciona la pausa de emergencia

THORChain es operado por operadores de nodos, y sus reglas les permiten priorizar la integridad de la red sobre el tiempo de actividad mientras se investiga un problema.

Una detención de este tipo puede durar hasta 720 bloques, o aproximadamente 1,5 horas. Votos adicionales de los nodos pueden extenderla aún más.

El mecanismo funciona como un cortacircuitos. En lugar de seguir procesando datos que la red sabe que son sospechosos, se detiene, da tiempo a los operadores de nodos para investigar y permite que una nueva votación decida cuándo se reanuda el trading. Los mercados bursátiles tradicionales imponen pausas similares por la misma razón: contener una falla antes de que se agrave.

La conexión con Binance

El elemento inusual del incidente es quién más resultó afectado. Chainalysis vinculó la detención de emergencia con fondos robados de Binance, y la firma relacionó la actividad de lavado con actores de la RPDC, es decir, grupos asociados con Corea del Norte. Las empresas de análisis, incluida Chainalysis, han atribuido algunos de los mayores robos de criptomonedas registrados a grupos vinculados con la RPDC, y lavar tales fondos típicamente requiere moverlos a través de plataformas donde puedan cambiarse por activos más difíciles de rastrear.

Con los swaps congelados en 12 cadenas, cualquiera que intentara mover esos fondos a través de THORChain se vio obligado a esperar. Mover activos rápidamente entre cadenas es una técnica común para hacer que el dinero robado sea más difícil de rastrear, por lo que incluso una breve demisión da a los investigadores tiempo adicional.

La pausa en sí fue provocada por la reorg de Ethereum y el reembolso doble, no por una medida deliberada contra los fondos robados. El hallazgo de Chainalysis indica que la demora resultó coincidir con actividad vinculada al robo de Binance.

No es la primera detención de THORChain

El incidente no fue la primera detención operativa del protocolo en 2026. A principios de este año, THORChain lidió con exploits así como con detenciones vinculadas a ZEC y TRON. Ese historial encaja en un patrón a nivel de la industria: los puentes entre cadenas y las redes de liquidez han figurado entre las categorías de infraestructura cripto más frecuentemente atacadas según los informes de exploits del sector, lo que ha llevado a muchos protocolos a adoptar mecanismos de pausa integrados y respuestas más rápidas a incidentes.

El protocolo depende de su token nativo RUNE para operar como una red de liquidez descentralizada. Su oferta principal son los swaps nativos entre cadenas que no dependen de un exchange centralizado en el medio.

Esa propuesta tiene un costo. Cada cadena que THORChain agrega es un lugar más donde algo puede salir mal, y un evento en una sola cadena conectada, como una reorg de Ethereum, puede forzar una pausa en casi toda la red.

Qué significa para los usuarios y el protocolo

Para los usuarios de THORChain, el incidente ilustra tanto el valor como los límites de la red de seguridad. La pausa de emergencia funcionó según lo diseñado: detectó una anomalía y detuvo la actividad antes de que se acumularan más daños. En términos prácticos, los swaps pendientes quedaron sin completar hasta que los operadores de nodos votaran por reanudar, y la firma saliente parcialmente abierta ofrecía el único camino para que algunas transacciones salieran.

Sin embargo, el reembolso doble ya se había efectuado. El protocolo detectó el error después de cometerlo, no antes.

Esto apunta a una pregunta más amplia para los protocolos de liquidez entre cadenas. Su confiabilidad está limitada por qué tan bien manejan los datos defectuosos de las cadenas a las que se conectan, incluidos los datos temporales que luego son revertidos por una reorg.

La dimensión de las finanzas ilícitas añade otra capa de complejidad. El vínculo de Chainalysis entre la detención y los fondos robados de Binance, asociados con actores de la RPDC, regresa a THORChain a un debate recurrente: cómo debería responder un protocolo descentralizado cuando fondos robados pasan por él.

Puntos a observar a partir de ahora incluyen si los operadores de nodos votan por extender la detención más allá de la ventana de 720 bloques, cómo maneja el protocolo el reembolso adicional de 10 ETH, y si THORChain cambia su forma de lidiar con las reorgs de Ethereum.

Este artículo se basa en el reportaje de CryptoBriefing, editado por Estefano Gomez.