THORChain ha attivato il proprio freno di emergenza il 31 ottobre 2026, dopo che una riorganizzazione della blockchain di Ethereum ha indotto il protocollo cross-chain a rimborsare due volte lo stesso deposito. La fermata ha avuto un effetto collaterale con implicazioni che vanno oltre un singolo pagamento errato: secondo la società di analisi blockchain Chainalysis, la pausa è coincisa con gli sforzi per riciclare fondi rubati a Binance, rallentandoli temporaneamente.

Cosa è successo sulla catena

Il 31 ottobre 2026 Ethereum ha attraversato una riorganizzazione inattesa, comunemente nota come reorg. THORChain ha quindi emesso per errore un rimborso duplicato su un deposito di 10 ETH.

Un reorg può essere immaginato come un quaderno condiviso su cui più persone registrano le transazioni. Due scriventi annotano per un breve periodo versioni diverse dell'ultima pagina, e il gruppo alla fine strappa una versione e conserva l'altra. In termini tecnici, la rete scarta blocchi confermati da poco a favore di una catena di blocchi concorrente. Le transazioni che sembravano definitive possono cambiare posizione, scomparire o riapparire altrove. I reorg profondi su reti grandi come Ethereum sono rari, ma i protocolli automatizzati che agiscono sui dati grezzi della catena sono proprio i sistemi più esposti quando uno si verifica.

Per un protocollo cross-chain che monitora Ethereum e reagisce ai depositi, questo crea un rischio specifico. Se la cronologia osservata dal protocollo viene riscritta, può agire due volte sullo stesso evento. In questo caso, ciò ha significato rimborsare due volte un unico deposito di 10 ETH.

Il rimborso duplicato ha innescato la pausa di emergenza di THORChain. Trading e swap si sono fermati su 12 delle 13 catene supportate dal protocollo.

L'arresto non è stato totale. La firma in uscita è rimasta attiva sulla maggior parte delle catene interessate, il che significa che alcune transazioni potevano comunque lasciare la rete mentre gli swap erano congelati.

Come funziona la pausa di emergenza

THORChain è gestito da node operator, e le sue regole consentono loro di dare priorità all'integrità della rete rispetto alla disponibilità del servizio mentre un problema viene indagato.

Un arresto di questo tipo può durare fino a 720 blocchi, ovvero circa 1,5 ore. Voti aggiuntivi dei nodi possono estenderlo ulteriormente.

Il meccanismo funziona come un interruttore automatico. Invece di continuare a elaborare dati che la rete sa essere sospetti, si ferma, dà tempo ai node operator di indagare e lascia che un nuovo voto decida quando riprendere il trading. I mercati azionari tradizionali impongono fermate di trading simili per lo stesso motivo: contenere un guasto prima che si aggravi.

Il collegamento con Binance

L'elemento insolito dell'incidente riguarda chi altro è stato coinvolto. Chainalysis ha collegato l'arresto di emergenza a fondi rubati a Binance, e la società ha associato l'attività di riciclaggio ad attori della DPRK, ovvero gruppi collegati alla Corea del Nord. Le società di analisi, tra cui Chainalysis, hanno attribuito alcuni dei maggiori furti di criptovalute mai registrati a gruppi legati alla DPRK, e il riciclaggio di tali proventi richiede in genere di spostarli attraverso canali dove possano essere convertiti in attività più difficili da tracciare.

Con gli swap congelati su 12 catene, chiunque cercasse di spostare quei fondi attraverso THORChain è stato costretto ad attendere. Spostare rapidamente attività tra catene è una tecnica comune per rendere il denaro rubato più difficile da tracciare, quindi anche un breve ritardo dà agli investigatori tempo aggiuntivo.

La pausa stessa è stata innescata dal reorg di Ethereum e dal doppio rimborso, non da un'azione deliberata contro i fondi rubati. Il riscontro di Chainalysis indica che il ritardo è capitato per caso su attività collegata al furto da Binance.

Non è la prima fermata per THORChain

L'incidente non è stata la prima interruzione operativa del protocollo nel 2026. In precedenza quest'anno, THORChain ha affrontato exploit oltre a fermate collegate a ZEC e TRON. Questo bilancio rientra in un modello diffuso nel settore: i bridge cross-chain e le reti di liquidità sono risultati tra le categorie di infrastruttura crypto più frequentemente prese di mira nei report di exploit del settore, il che ha spinto molti protocolli verso meccanismi di pausa integrati e una risposta agli incidenti più rapida.

Il protocollo si basa sul suo token nativo RUNE per operare come rete di liquidità decentralizzata. La sua offerta principale è rappresentata da swap cross-chain nativi che non dipendono da un exchange centralizzato interposto.

Questa proposta ha un costo. Ogni catena che THORChain aggiunge è un punto in più in cui qualcosa può andare storto, e un evento su una singola catena collegata, come un reorg di Ethereum, può forzare una pausa su quasi l'intera rete.

Cosa significa per gli utenti e per il protocollo

Per gli utenti di THORChain, l'incidente illustra sia il valore sia i limiti della rete di sicurezza. La pausa di emergenza ha funzionato come progettato: ha rilevato un'anomalia e ha interrotto l'attività prima che ulteriori danni potessero accumularsi. In pratica, gli swap in sospeso sono rimasti incompiuti finché i node operator non hanno votato per riprendere, con la firma in uscita parzialmente aperta come unica via d'uscita per alcune transazioni.

Il doppio rimborso, tuttavia, era già stato effettuato. Il protocollo ha rilevato l'errore dopo averlo commesso, non prima.

Questo pone una questione più ampia per i protocolli di liquidità cross-chain. La loro affidabilità è limitata da quanto bene gestiscono i dati difettosi delle catene a cui si collegano, compresi i dati temporanei che vengono successivamente annullati da un reorg.

La dimensione della finanza illecita aggiunge un ulteriore livello di complessità. Il collegamento stabilito da Chainalysis tra l'arresto e i proventi del furto da Binance legati ad attori associati alla DPRK riporta THORChain al centro di un dibattito ricorrente: come dovrebbe rispondere un protocollo decentralizzato quando fondi rubati vi transitano.

Punti da seguire da qui in avanti includono se i node operator voteranno per estendere l'arresto oltre la finestra di 720 blocchi, come il protocollo gestirà il rimborso extra di 10 ETH, e se THORChain modificherà il modo in cui affronta i reorg di Ethereum.

Questo articolo si basa su una ricostruzione di CryptoBriefing, a cura di Estefano Gomez.