De FBI heeft THORChain-nodeoperators en andere diensten voor gedecentraliseerde financiering (DeFi) gevraagd transacties te blokkeren die verbonden zijn met de ruwweg $6,3 miljard die werd gestolen bij de hack van Binance — een verzoek dat benadrukt hoe moeilijk handhaving wordt in een netwerk dat is gebouwd om zonder centrale controle te draaien.

Het verzoek kwam op 31 oktober. THORChain is een cross-chain swapnetwerk dat 13 blockchains verbindt; de nodes opereren onafhankelijk en geen enkele instantie kan hen dwingen de transacties te blokkeren.

Wat de FBI vroeg — en hoe THORChain reageerde

Het bureau schreef de diefstal van 29 oktober toe aan TraderTraitor, de benaming voor een aan Noord-Korea gelinkte hackersgroep, en vroeg diensten de vermelde wallets en alle daaruit voortkomende transacties te blokkeren. In de officiële waarschuwing zei de FBI dat de aanvallers de gestolen crypto omzetten in Ether.

Tot nu toe heeft de FBI 608 Ethereum-adressen, 19 Bitcoin-adressen en één Solana-adres geïdentificeerd. Opmerkelijk is dat er nog geen enkel Tron-adres op de lijst staat, hoewel die blockchain op grote schaal werd gebruikt om de gestolen middelen te verplaatsen.

Chad Barraford, technische medeoprichter van THORChain, vertelde aan The Block dat de officiële website van het protocol de vermelde adressen heeft geblokkeerd. Hij merkte op dat nodeoperators transacties op publieke blockchains al kunnen zien, maar zei dat hij verwacht dat de onafhankelijke operators gewoon doorgaan met het verwerken van transacties.

Waar de frontend eindigt en de nodes beginnen

Het onderscheid tussen de website van THORChain en het THORChain-netwerk zelf is hier relevant. De website bestaat om een swapinterface aan te bieden, maar het protocol draait op afzonderlijke nodes die via andere frontends bereikbaar zijn. Die scheiding is gebruikelijk in DeFi, waar frontends optionele interfaces zijn en de onderliggende protocollen draaien op onafhankelijke operators. Het blokkeren van een adres op de officiële site voorkomt dus niet dat dezelfde transactie elders wordt uitgevoerd, en het is nog onduidelijk of nodeoperators de gemarkeerde adressen in het hele netwerk hebben geblokkeerd.

Een afzonderlijke stillegging die legitieme gebruikers trof

Een ongerelateerd probleem legde vervolgens de handelsactiviteit stil. Op 31 oktober deed zich een Ethereum-blokreorganisatie voor, waardoor THORChain 10 ETH terugbetaalde die gekoppeld was aan kluizen waarvoor geen deposito's waren ontvangen; het tekort werd opgevangen door de solvabiliteitscontrole van het netwerk. Dat dwong operators de pauze te verlengen, en op 1 november werd de handel op 10 van de 13 verbonden chains opgeschort. Alle betrokken partijen leden verliezen. De stillegging was bedoeld om het netwerk te beschermen — niet om het verzoek van de FBI uit te voeren.

De cijfers zijn schattingen, geen vaststaande feiten

De snelheid waarmee de gestolen middelen zijn verplaatst, maakt het moeilijk het totaal nauwkeurig te bepalen. Analist SomaXBT schatte in een X-post dat ongeveer $242 miljoen binnen twee dagen via de Tron-blockchain werd overgemaakt.

Het overgrote deel van dat totaal — ongeveer $140 miljoen — werd verplaatst via een reeks cross-chain diensten: Relay vervoerde bijna $48 miljoen, THORChain verplaatste $44 miljoen, Chainflip zorgde voor $32,1 miljoen en Symbiosis behandelde $16 miljoen. Deze cijfers zijn schattingen en suggereren niet dat THORChain enigszins op de hoogte was van het wangedrag van de hackers.

Waarom screening per wallet mogelijk niet standhoudt

De snelle verplaatsing van de gestolen middelen maakt het moeilijk wallets één voor één te screenen. Blockchainanalysebedrijf Elliptic volgde ruwweg 12.000 wallets op 11 blockchains en meer dan 40.000 transacties in minder dan vier dagen, en vond tekenen van geautomatiseerde witwassing, maar geen bewijs dat AI-agenten dit aanstuurden. Nu de middelen voortdurend naar nieuwe wallets springen, kunnen vaste blokkeerlijsten snel achterlopen — en de tot nu toe door de FBI geïdentificeerde 628 adressen dekken slechts een fractie van die activiteit.

Voor THORChain is de vraag hoe snel het kan reageren. In een eerdere discussie betoogde onderzoeker Taylor Monahan dat het netwerk verdachte routes kon stilleggen. Barraford stelde tegenover dat het bereiken van tweederde-nodeconsensus — overeenstemming van een supermeerderheid van operators — dagen of weken kan duren, en dat sneller handelen meer gecentraliseerde controle zou vereisen.

Wat er op het spel staat voor liquiditeit, compliance en vertrouwen

Binance werkt ondertussen aan het herstel van het klantvertrouwen. De beurs heeft een proof of reserves afgerond — een momentopname die laat zien of gespecificeerde klantsaldi gedekt zijn door activa — en beloofde de verliezen te dekken.

Desondanks meldde Reuters $4,72 miljard aan netto opnames, ongeveer 3% van de platformactiva, ondanks $2,7 miljard aan instromen. Cryptopolitan heeft eerder de blootstelling van THORChain aan gestolen middelen onderzocht.

Vanaf hier zijn de markeringen om in de gaten te houden concreet: of de nodeoperators van THORChain de lijst van de FBI netwerkbreed opvolgen, of Tron-adressen worden toegevoegd, en wanneer de handel op de 10 opgeschorte chains wordt hervat. De laatste zaak brengt een bekende uitdaging opnieuw onder de aandacht: hoe kan DeFi de liquiditeit openhouden zonder compliance en gebruikersvertrouwen te ondermijnen?