THORChain ha sospeso il trading su 10 reti blockchain dopo che un errore di elaborazione di una transazione Ethereum ha causato un rimborso non autorizzato di 10 ETH, interrompendo temporaneamente gli swap cross-chain utilizzati dagli hacker nordcoreani per riciclare i proventi della violazione di sicurezza da 6,3 miliardi di dollari subita da Binance.

THORChain è un protocollo di liquidità decentralizzato che consente agli utenti di scambiare asset tra diverse blockchain senza un intermediario centralizzato — un progetto che ripetutamente lo ha posto sulla traiettoria dei fondi rubati dalle principali piattaforme crittografiche.

L'incidente del 31 ottobre ha attivato un avviso automatico di solvibilità e ha sollecitato l'intervento di emergenza dei node operator, che hanno sospeso prelievi e trading mentre gli sviluppatori indagavano sulla vulnerabilità. L'utente interessato ha successivamente restituito i 10 ETH, ripristinando il saldo del vault.

L'interruzione ha anche bloccato il flusso degli asset Binance rubati attraverso THORChain, che aveva già elaborato circa 44 milioni di dollari in transazioni collegate all'attacco. Al 1° novembre, il trading rimaneva sospeso su Bitcoin, Ethereum, Solana, Tron, BNB Smart Chain, Cosmos, Bitcoin Cash, Dogecoin, Litecoin e Zcash, mentre Avalanche, Base, la rete nativa RUNE di THORChain e l'XRP Ledger restavano operativi.

Una riorganizzazione di Ethereum innesca l'arresto di emergenza di THORChain

L'incidente è iniziato alle 11:34 UTC del 31 ottobre, quando Ethereum ha subito una riorganizzazione di un blocco che ha rimosso un deposito di 10 ETH precedentemente rilevato da THORChain. Le riorganizzazioni si verificano quando la rete sostituisce un blocco aggiunto di recente con una versione concorrente, il che significa che transazioni apparse confermate possono scomparire temporaneamente dalla catena canonica. Il protocollo aveva già accreditato il deposito prima che la transazione scomparisse dalla catena canonica di Ethereum. Quando lo swap associato non ha soddisfatto le proprie condizioni di prezzo, THORChain ha emesso un rimborso contro fondi che il suo vault non aveva mai ricevuto effettivamente. Anche il deposito legittimo del mittente è stato rimborsato, lasciando il protocollo con uno shortfall temporaneo di 10 ETH.

Il controllo di solvibilità automatizzato di THORChain ha rilevato la discrepanza e ha interrotto gli swap su Ethereum. I node operator hanno sospeso la firma delle transazioni ETH circa due minuti dopo, per poi estendere le restrizioni ad altre reti.

Sebbene i 10 ETH mancanti siano stati successivamente restituiti, gli sviluppatori hanno identificato una potenziale vulnerabilità nel modo in cui il protocollo gestisce le transazioni riorganizzate. Un attaccante potrebbe sfruttare lo stesso comportamento durante future riorganizzazioni di blocchi per innescare pagamenti non autorizzati. Gli sviluppatori principali stanno preparando correzioni, e sono i node operator a decidere quando le singole reti possono riprendere il trading in sicurezza.

Gli hacker di Binance spostano 242 milioni di dollari su Tron

L'arresto del trading è coinciso con i tentativi di riciclare i fondi della violazione di sicurezza di Binance da 6,3 miliardi di dollari, record nella storia, che le autorità statunitensi hanno attribuito all'operazione TraderTraitor nordcoreana, l'etichetta usata dalle agenzie statunitensi per le campagne nordcoreane rivolte alle piattaforme di criptovalute.

L'investigatore blockchain SomaXBT ha tracciato circa 242 milioni di dollari in asset rubati in movimento su Tron nell'arco di due giorni, di cui circa 194 milioni instradati attraverso bridge cross-chain e servizi di swap. Questi servizi attirano l'attenzione investigativa perché ogni passaggio cambia sia la catena sia il token che trasporta i fondi rubati. Relay ha gestito circa 48 milioni di dollari, seguita da THORChain con 44 milioni, Chainflip con 32,1 milioni e Symbiosis con 16 milioni.

Gli aggressori hanno presumibilmente depositato 185,1 milioni di TRX e 3,83 milioni di USDT su THORChain attraverso 2.697 transazioni, ricevendo ETH e BTC su numerosi indirizzi di destinazione. Lo shutdown imprevisto ha temporaneamente bloccato ulteriori swap attraverso le reti interessate, interrompendo parte dell'operazione di riciclaggio, sebbene le transazioni già completate non siano state annullate.

L'FBI ha formalmente identificato TraderTraitor come responsabile del furto da Binance, esortando i node operator di THORChain, gli exchange e i servizi di finanza decentralizzata a bloccare gli indirizzi associati ai fondi rubati. Il co-fondatore tecnico di THORChain, Chad Barraford, ha sostenuto che i node operator non possiedono informazioni oltre ai dati blockchain pubblicamente disponibili, ma non si è impegnato a bloccare gli indirizzi identificati.

La controversia richiama il riciclaggio dei fondi rubati nell'hack di Bybit da 1,5 miliardi di dollari, quando THORChain è diventato una via principale per convertire Ethereum rubato in Bitcoin. A differenza degli exchange centralizzati, THORChain attualmente non offre un meccanismo per bloccare selettivamente singole transazioni; i suoi controlli di emergenza si applicano a intere reti, incidendo allo stesso modo su utenti legittimi e presunti criminali.

Con lo shortfall di 10 ETH risolto, la discrepanza finanziaria immediata è stata affrontata. La maggior parte delle reti interessate, tuttavia, rimane sospesa in attesa di correzioni tecniche, lasciando THORChain sotto un rinnovato scrutinio sia per la sicurezza cross-chain sia per il movimento di criptovalute illecite.