THORChain a suspendu le trading sur 10 réseaux blockchain après qu'une erreur de traitement d'une transaction Ethereum a déclenché un remboursement non autorisé de 10 ETH, perturbant temporairement les échanges inter-chaînes utilisés par des pirates nord-coréens pour blanchir le produit de la violation de sécurité de 6,3 milliards de dollars chez Binance.

THORChain est un protocole de liquidité décentralisé qui permet aux utilisateurs d'échanger des actifs entre différentes blockchains sans intermédiaire centralisé — une conception qui l'a placé à plusieurs reprises sur le trajet de fonds volés à de grandes plateformes crypto.

L'incident du 31 octobre a activé une alerte de solvabilité automatique et provoqué une intervention d'urgence des opérateurs de nœuds, qui ont suspendu les retraits et le trading tandis que les développeurs enquêtaient sur la vulnérabilité. L'utilisateur concerné a ensuite restitué les 10 ETH, rétablissant le solde du coffre.

La perturbation a également interrompu le flux des actifs Binance volés via THORChain, qui avait déjà traité environ 44 millions de dollars de transactions liées à l'attaque. Au 1er novembre, le trading restait suspendu sur Bitcoin, Ethereum, Solana, Tron, BNB Smart Chain, Cosmos, Bitcoin Cash, Dogecoin, Litecoin et Zcash, tandis qu'Avalanche, Base, le réseau natif RUNE de THORChain et le XRP Ledger restaient opérationnels.

Une réorganisation Ethereum déclenche un arrêt d'urgence de THORChain

L'incident a commencé à 11h34 UTC le 31 octobre, lorsqu'Ethereum a subi une réorganisation d'un bloc qui a supprimé un dépôt de 10 ETH précédemment détecté par THORChain. Les réorganisations surviennent lorsque le réseau remplace un bloc récemment ajouté par une version concurrente, ce qui signifie que des transactions semblant confirmées peuvent brièvement disparaître de la chaîne canonique. Le protocole avait déjà crédité le dépôt avant que la transaction ne disparaisse de la chaîne canonique d'Ethereum. Lorsque l'échange associé n'a pas rempli ses conditions de prix, THORChain a émis un remboursement sur des fonds que son coffre n'avait jamais réellement reçus. Le dépôt légitime de l'expéditeur a également été remboursé, laissant le protocole avec un déficit temporaire de 10 ETH.

Le vérificateur de solvabilité automatisé de THORChain a détecté l'écart et arrêté les échanges Ethereum. Les opérateurs de nœuds ont suspendu la signature des transactions ETH environ deux minutes plus tard, puis ont étendu les restrictions à d'autres réseaux.

Bien que les 10 ETH manquants aient été restitués par la suite, les développeurs ont identifié une vulnérabilité potentielle dans la manière dont le protocole gère les transactions réorganisées. Un attaquant pourrait exploiter le même comportement lors de futures réorganisations de blocs pour déclencher des paiements non autorisés. Les développeurs principaux préparent des correctifs, et les opérateurs de nœuds sont chargés de déterminer quand chaque réseau peut reprendre le trading en toute sécurité.

Les pirates de Binance déplacent 242 millions de dollars via Tron

L'arrêt du trading a coïncidé avec des tentatives de blanchiment de fonds issus de la violation de sécurité record de 6,3 milliards de dollars chez Binance, que les autorités américaines attribuent à l'opération TraderTraitor de la Corée du Nord, l'appellation utilisée par les agences américaines pour désigner les campagnes nord-coréennes ciblant les plateformes de cryptomonnaies.

L'enquêteur blockchain SomaXBT a tracé environ 242 millions de dollars d'actifs volés transitant par Tron sur deux jours, dont environ 194 millions de dollars acheminés via des ponts inter-chaînes et des services d'échange. Ces services attirent l'attention des enquêteurs car chaque saut change à la fois la chaîne et le jeton transportant les fonds volés. Relay a traité environ 48 millions de dollars, suivi de THORChain avec 44 millions, Chainflip avec 32,1 millions et Symbiosis avec 16 millions.

Les attaquants auraient déposé 185,1 millions de TRX et 3,83 millions de USDT sur THORChain via 2 697 transactions, recevant des ETH et des BTC vers de nombreuses adresses de destination. L'arrêt inattendu a temporairement bloqué d'autres échanges via les réseaux concernés, interrompant une partie de l'opération de blanchiment, bien que les transactions déjà finalisées n'aient pas été annulées.

Le FBI a formellement identifié TraderTraitor comme responsable du vol chez Binance, exhortant les opérateurs de nœuds THORChain, les plateformes d'échange et les services de finance décentralisée à bloquer les adresses associées aux fonds volés. Le cofondateur technique de THORChain, Chad Barraford, a affirmé que les opérateurs de nœuds ne disposent d'aucune information au-delà des données blockchain publiquement disponibles, mais il ne s'est pas engagé à bloquer les adresses identifiées.

La controverse rappelle le blanchiment des fonds volés lors du piratage de Bybit de 1,5 milliard de dollars, quand THORChain est devenu une voie majeure pour convertir les Ethereum volés en Bitcoin. Contrairement aux plateformes d'échange centralisées, THORChain n'offre actuellement aucun mécanisme de blocage sélectif de transactions individuelles ; ses contrôles d'urgence s'appliquent à des réseaux entiers, touchant aussi bien les utilisateurs légitimes que les criminels présumés.

Le déficit de 10 ETH étant résolu, l'écart financier immédiat a été corrigé. La plupart des réseaux concernés restent toutefois suspendus dans l'attente de correctifs techniques, laissant THORChain sous surveillance accrue tant pour la sécurité inter-chaînes que pour les mouvements de cryptomonnaies illicites.