El protocolo de liquidez cross-chain THORChain congeló las operaciones en diez blockchains después de que una reorganización de un bloque en Ethereum provocara que sus bóvedas pagaran dos veces un solo depósito de 10 ETH. El protocolo permite a los usuarios intercambiar activos entre las blockchains que conecta: los depósitos ingresan a sus bóvedas y los operadores de nodos firman los pagos que salen de ellas. La secuencia fue descrita en una publicación en X el 1 de noviembre, indicando que el usuario había devuelto los 10 ETH adicionales y que los desarrolladores principales estaban trabajando en los cambios necesarios.

Lo que la reorganización eliminó

A las 11:34 UTC del 31 de octubre, Ethereum reemplazó un bloque reciente por una versión competidora. El bloque descartado contenía un depósito de 10 ETH en una bóveda de THORChain, que los observadores del protocolo ya habían visto y acreditado.

Los bloques tan recientes todavía pueden ser reemplazados. Ethereum considera finalizado un bloque solo después de aproximadamente dos épocas, alrededor de 13 minutos, y nada en el relato de THORChain sugiere que la historia finalizada haya cambiado. La falla ocurrió dentro de THORChain, que actuó sobre un depósito antes de que Ethereum lo hubiera asentado.

Se produjeron dos pagos. El swap asociado al depósito acreditado no cumplió su límite de precio, por lo que THORChain reembolsó 10 ETH. El depósito del remitente en la cadena aceptada de Ethereum también fue reembolsado. Un depósito de 10 ETH llegó a la bóveda, y 20 ETH salieron de ella.

La propia advertencia de THORChain muestra cómo un depósito podría contarse dos veces. Cada cuenta de Ethereum numera sus transacciones con un nonce. Una vez que la transferencia original desapareció con su bloque, ese nonce podía usarse de nuevo en la cadena aceptada. THORChain escribió que durante cualquier reorganización externa, "un actor malicioso podría realizar una nueva transacción con el mismo nonce" y que se le pagaría desde sus bóvedas.

Todos los nodos vieron la reorganización. El reembolso se pagó de todos modos.

La detección no fue el problema. Según THORChain, todos los nodos registraron la reorganización, pero la reverificación automatizada destinada a establecer el estado del depósito no pudo completarse antes de que THORChain finalizara la observación en su propia cadena. La documentación de Bifrost describe cómo se revierten las observaciones cuando una transacción externa desaparece. El 31 de octubre, esa reversión no ocurrió antes de que se pagara el reembolso.

La publicación no explica por qué la reverificación se quedó sin tiempo ni qué cambiará la corrección. El reembolso solo se cubrió porque el destinatario decidió devolverlo. Según la descripción de THORChain de la falla, esta le paga a quien la active, y alguien que sincronice transacciones en torno a una futura reorganización no tendría motivo para devolver nada.

Por qué una falla de 10 ETH congeló diez cadenas

El verificador automático de solvencia de THORChain detectó el faltante y detuvo los swaps de ETH. En aproximadamente dos minutos, los operadores de nodos también dejaron de firmar transacciones de ETH, lo que bloquea los pagos desde las bóvedas. Luego detuvieron las operaciones en otras cadenas como precaución, porque la advertencia sobre el nonce cubre reorganizaciones en cualquier cadena conectada, no solo Ethereum.

Estado de los servicios de THORChain según la publicación del 1 de noviembre:

• Operaciones detenidas: ATOM, BCH, BSC, BTC, DOGE, ETH, LTC, SOL, TRON, ZEC
• Operaciones activas: AVAX, BASE, RUNE, XRPL
• Pagos salientes: Los datos de estado del 31 de octubre mostraban que la firma seguía habilitada en la mayoría de las cadenas detenidas, por lo que los pagos pendientes podían salir mientras los nuevos swaps permanecían bloqueados.

El estado de las operaciones corresponde a la publicación de THORChain del 1 de noviembre; el estado de la firma corresponde a la API de estado de THORChain según lo reportado el 31 de octubre.

La lista ya cambió una vez. La noche del 31 de octubre, The Defiant reportó que la API de estado de THORChain mostraba las operaciones pausadas en 12 de 13 cadenas externas. Para la publicación del 1 de noviembre, tres de ellas habían sido re habilitadas. THORChain no explicó por qué esas tres fueron primero.

Nada de esto detiene las redes subyacentes. Bitcoin, Ethereum y las demás cadenas siguen produciendo bloques; las suspensiones solo limitan lo que THORChain procesará de cada una.

Leído de una manera, el incidente muestra que las salvaguardas funcionan. El verificador se activó sin intervención humana, los pagos se detuvieron en minutos y la exposición se mantuvo en 10 ETH. En mayo, la misma verificación tuvo que detener las operaciones y la firma después de que un exploit drenara alrededor de 10,7 millones de dólares de una bóveda. Lo que el verificador no puede hacer es reparar la lógica de observación, razón por la cual las suspensiones se ampliaron en lugar de aliviarse una vez que la bóveda quedó nuevamente completa.

Tres votos para detener, cuatro para anular

Suspensiones como estas son configuraciones operativas, y la documentación de gobernanza de THORChain permite que un pequeño grupo de nodos las modifique. Una configuración requiere al menos tres votos de nodos activos y debe superar todos los valores competidores; un empate deja la configuración actual en vigor.

Ese umbral ya fue probado públicamente. Durante el lavado de fondos robados de Bybit en febrero de 2025, tres validadores votaron por detener las operaciones de ETH, y otros operadores de nodos revirtieron la votación casi de inmediato. El relato de THORChain del 1 de noviembre también señala que detener una cadena no otorga a los nodos el control de los activos de las bóvedas. Detener la actividad y firmar transferencias son poderes separados.

Una suspensión que THORChain no usaría contra lavadores

El 28 de septiembre, ante llamados para congelar los fondos del hackeo de Bitget, THORChain escribió en X que una suspensión de la red es una medida de seguridad de emergencia destinada a proteger el protocolo, y declinó usar una contra esos fondos. La falla de la reorganización es exactamente ese tipo de emergencia, y la suspensión que desencadenó atrapó de todos modos a los lavadores.

Chainalysis, que atribuye el robo de 6.400 millones de dólares a Binance al grupo TraderTraitor de Corea del Norte, dijo el 1 de noviembre que THORChain había "retrasado inadvertidamente el lavado de una cantidad significativa de fondos robados de Binance". El retraso provino de la misma característica que frustra a los usuarios comunes: una cadena suspendida no procesa los swaps de nadie.

Qué debe ocurrir antes de que los swaps regresen

La documentación para desarrolladores de THORChain advierte contra el envío de fondos a una cadena suspendida, ya que las transacciones pueden quedar sin procesar hasta que se levante la suspensión. La publicación del 1 de noviembre no dio fecha de reapertura. Los operadores de nodos re habilitarán cada cadena cuando consideren que es seguro.

Tres cosas demostrarían que la falla está cerrada y no solo pausada: que THORChain publique el cambio en cómo maneja las reorganizaciones externas, que los operadores de nodos actualicen a esa versión, y que la firma de ETH regrese junto con las operaciones en las cadenas suspendidas. Tras el exploit de mayo, ese camino fue desde un parche de emergencia hasta una corrección completa y la reapertura de las operaciones en más de cinco semanas. Esa es una referencia del proceso, no un calendario para este caso.

Los 10 ETH devueltos saldaron el pago del 31 de octubre. La re habilitación de la firma de ETH sería la primera señal pública de que los operadores confían en que THORChain maneje la próxima reorganización.