THORChain suspendió las operaciones en 10 redes blockchain después de que un error en el procesamiento de una transacción de Ethereum desencadenara un reembolso no autorizado de 10 ETH, interrumpiendo temporalmente los intercambios entre cadenas utilizados por hackers norcoreanos para lavar los productos de la brecha de seguridad de Binance de 6.300 millones de dólares.

THORChain es un protocolo de liquidez descentralizado que permite a los usuarios intercambiar activos entre diferentes blockchains sin un intermediario centralizado, un diseño que lo ha colocado repetidamente en el camino de fondos robados de grandes plataformas de criptomonedas.

El incidente del 31 de octubre activó una alerta automática de solvencia y provocó una intervención de emergencia por parte de los operadores de nodos, quienes suspendieron retiros y operaciones mientras los desarrolladores investigaban la vulnerabilidad. El usuario afectado posteriormente devolvió los 10 ETH, restaurando el saldo de la bóveda.

La interrupción también frenó el flujo de activos robados de Binance a través de THORChain, que ya había procesado alrededor de 44 millones de dólares en transacciones vinculadas al ataque. Al 1 de noviembre, las operaciones permanecían suspendidas en Bitcoin, Ethereum, Solana, Tron, BNB Smart Chain, Cosmos, Bitcoin Cash, Dogecoin, Litecoin y Zcash, mientras que Avalanche, Base, la red nativa RUNE de THORChain y el XRP Ledger seguían operativos.

Una reorganización de Ethereum desencadena la parada de emergencia de THORChain

El incidente comenzó a las 11:34 UTC del 31 de octubre, cuando Ethereum experimentó una reorganización de un bloque que eliminó un depósito de 10 ETH que THORChain ya había detectado. Las reorganizaciones ocurren cuando la red reemplaza un bloque agregado recientemente por una versión competidora, lo que significa que las transacciones que parecían confirmadas pueden desaparecer brevemente de la cadena canónica. El protocolo ya había acreditado el depósito antes de que la transacción desapareciera de la cadena canónica de Ethereum. Cuando el intercambio asociado no cumplió con sus condiciones de precio, THORChain emitió un reembolso contra fondos que su bóveda nunca había recibido realmente. El depósito legítimo del remitente también fue reembolsado, dejando al protocolo con un faltante temporal de 10 ETH.

El verificador automático de solvencia de THORChain detectó la discrepancia y detuvo los intercambios de Ethereum. Los operadores de nodos suspendieron la firma de transacciones ETH aproximadamente dos minutos después, y luego extendieron las restricciones a otras redes.

Aunque los 10 ETH faltantes fueron devueltos posteriormente, los desarrolladores identificaron una vulnerabilidad potencial en la forma en que el protocolo maneja las transacciones reorganizadas. Un atacante podría explotar el mismo comportamiento durante futuras reorganizaciones de bloques para desencadenar pagos no autorizados. Los desarrolladores principales están preparando correcciones, y los operadores de nodos son responsables de determinar cuándo cada red puede reanudar las operaciones de manera segura.

Hackers de Binance mueven 242 millones de dólares a través de Tron

La suspensión coincidió con intentos de lavar fondos de la récord brecha de seguridad de Binance de 6.300 millones de dólares, que las autoridades estadounidenses han atribuido a la operación TraderTraitor de Corea del Norte, el término que las agencias de EE. UU. usan para las campañas norcoreanas dirigidas a plataformas de criptomonedas.

El investigador de blockchain SomaXBT rastreó aproximadamente 242 millones de dólares en activos robados moviéndose a través de Tron durante dos días, incluidos alrededor de 194 millones de dólares enrutados a través de puentes entre cadenas y servicios de intercambio. Estos servicios atraen la atención investigativa porque cada salto cambia tanto la cadena como el token que transporta los fondos robados. Relay manejó aproximadamente 48 millones de dólares, seguido de THORChain con 44 millones, Chainflip con 32,1 millones y Symbiosis con 16 millones.

Se reporta que los atacantes depositaron 185,1 millones de TRX y 3,83 millones de USDT en THORChain a través de 2.697 transacciones, recibiendo ETH y BTC en numerosas direcciones de destino. El cierre inesperado bloqueó temporalmente intercambios adicionales a través de las redes afectadas, interrumpiendo parte de la operación de lavado, aunque las transacciones ya completadas no fueron revertidas.

El FBI ha identificado formalmente a TraderTraitor como responsable del robo de Binance, exhortando a los operadores de nodos de THORChain, exchanges y servicios de finanzas descentralizadas a bloquear las direcciones asociadas con los fondos robados. El cofundador técnico de THORChain, Chad Barraford, sostuvo que los operadores de nodos no poseen información más allá de los datos públicos de la blockchain, pero no se comprometió a bloquear las direcciones identificadas.

La controversia recuerda el lavado de fondos robados en el hackeo de Bybit de 1.500 millones de dólares, cuando THORChain se convirtió en una ruta principal para convertir Ethereum robado en Bitcoin. A diferencia de los exchanges centralizados, THORChain actualmente no ofrece un mecanismo para bloquear selectivamente transacciones individuales; sus controles de emergencia se aplican a redes enteras, afectando por igual a usuarios legítimos y a presuntos delincuentes.

Con el faltante de 10 ETH resuelto, la discrepancia financiera inmediata ha sido atendida. Sin embargo, la mayoría de las redes afectadas permanecen suspendidas a la espera de correcciones técnicas, dejando a THORChain bajo un renovado escrutinio tanto por la seguridad entre cadenas como por el movimiento de criptomonedas ilícitas.