THORChain activeerde op 31 oktober 2026 zijn noodrem, nadat een reorganisatie van de Ethereum-blockchain ertoe leidde dat het cross-chain-protocol dezelfde storting tweemaal terugbetaalde. De stillegging had een neveneffect met gevolgen die verder reiken dan één foutieve uitbetaling: volgens het blockchain-analysebedrijf Chainalysis viel de pauze samen met pogingen om fondsen te witwassen die van Binance waren gestolen, en vertraagde deze die pogingen tijdelijk.

Wat er op de chain gebeurde

Op 31 oktober 2026 onderging Ethereum een onverwachte reorganisatie, doorgaans een reorg genoemd. THORChain verstrekte vervolgens ten onrechte een dubbele terugbetaling op een storting van 10 ETH.

Een reorg kan worden voorgesteld als een gedeeld notitieboek waarin meerdere mensen transacties opschrijven. Twee schrijvers noteren korte tijd verschillende versies van de laatste pagina, en de groep scheurt uiteindelijk één versie eruit en houdt de andere over. In technische termen verwisselt het netwerk recent bevestigde blokken voor een concurrerende keten van blokken. Transacties die definitief leken, kunnen van positie verschuiven, verdwijnen of elders opnieuw verschijnen. Diepe reorgs op grote netwerken zoals Ethereum zijn zeldzaam, maar geautomatiseerde protocollen die handelen op basis van ruwe chain-gegevens zijn juist de systemen die het meest kwetsbaar zijn wanneer zich een reorg voordoet.

Voor een cross-chain-protocol dat Ethereum in de gaten houdt en op stortingen reageert, ontstaat daardoor een specifiek gevaar. Als de geschiedenis die het protocol waarnam wordt herschreven, kan het dezelfde gebeurtenis tweemaal verwerken. In dit geval betekende dat het tweemaal terugbetalen van één storting van 10 ETH.

De dubbele terugbetaling activeerde de noodpauze van THORChain. Handel en swaps kwamen stil te liggen op 12 van de 13 chains die het protocol ondersteunt.

De stillegging was niet volledig. Uitgaande signing bleef actief op de meeste getroffen chains, waardoor sommige transacties het netwerk nog konden verlaten terwijl de swaps waren bevroren.

Hoe de noodpauze werkt

THORChain wordt gerund door node-operators, en de regels staan hen toe om netwerkintegriteit voor te laten gaan op beschikbaarheid zolang een probleem wordt onderzocht.

Een dergelijke halt kan tot 720 blokken duren, oftewel ongeveer 1,5 uur. Aanvullende stemmen van nodes kunnen de periode verder verlengen.

Het mechanisme werkt als een stroombreaker. In plaats van door te gaan met verwerken op gegevens waarvan het netwerk weet dat ze verdacht zijn, stopt het, krijgt het node-operators tijd om te onderzoeken, en bepaalt een nieuwe stemming wanneer de handel hervat wordt. Traditionele aandelenmarkten leggen om dezelfde reden vergelijkbare handelsstops op: een fout beperken voordat deze groter wordt.

De Binance-connectie

Het ongebruikelijke aspect van het incident is wie er nog meer door werd getroffen. Chainalysis koppelde de noodstop aan fondsen die van Binance waren gestolen, en het bedrijf verbond de witwasactiviteit met DPRK-actoren, wat groepen betekent die gelieerd zijn aan Noord-Korea. Analysebedrijven, waaronder Chainalysis, hebben enkele van de grootste cryptodiefstallen ooit geregistreerd toegeschreven aan aan DPRK gelieerde groepen, en het witwassen van zulke opbrengsten vereist doorgaans dat ze worden verplaatst via locaties waar ze kunnen worden omgewisseld voor moeilijker te traceren activa.

Met bevroren swaps op 12 chains moest iedereen die probeerde die fondsen via THORChain te verplaatsen wachten. Het snel verplaatsen van activa tussen chains is een veelgebruikte techniek om gestolen geld moeilijker te traceren, dus zelfs een korte vertraging geeft rechercheurs extra tijd.

De pauze zelf werd veroorzaakt door de Ethereum-reorg en de dubbele terugbetaling, niet door een bewuste actie tegen de gestolen fondsen. De bevinding van Chainalysis duidt erop dat de vertraging toevallig samenviel met activiteit die verband houdt met de diefstal bij Binance.

Niet THORChains eerste stillegging

Het incident was niet de eerste operationele stillegging van het protocol in 2026. Eerder dit jaar kreeg THORChain te maken met exploits en met stilleggingen die verband hielden met ZEC en TRON. Dat record past in een sectorbreed patroon: cross-chain-bridges en liquiditeitsnetwerken behoren volgens sectorrapportages over exploits tot de vaakst aangevallen categorieën crypto-infrastructuur, wat veel protocollen heeft aangezet tot ingebouwde pauzemechanismen en sneller incidentbeheer.

Het protocol is afhankelijk van zijn native RUNE-token om als gedecentraliseerd liquiditeitsnetwerk te functioneren. De kern van het aanbod is native cross-chain-swaps zonder afhankelijkheid van een gecentraliseerde beurs in het midden.

Dat aanbod heeft een prijs. Elke chain die THORChain toevoegt is één plek meer waar iets mis kan gaan, en een gebeurtenis op één aangesloten chain, zoals een Ethereum-reorg, kan een pauze afdwingen over vrijwel het hele netwerk.

Wat het betekent voor gebruikers en het protocol

Voor gebruikers van THORChain illustreert het incident zowel de waarde als de beperkingen van het vangnet. De noodpauze werkte zoals bedoeld: hij detecteerde een anomalie en staakte de activiteit voordat verdere schade kon oplopen. In de praktijk bleven lopende swaps onafgerond totdat node-operators stemden over hervatting, waarbij de deels open uitgaande signing de enige route bood waarlangs sommige transacties konden vertrekken.

De dubbele terugbetaling was echter al verstrekt. Het protocol ontdekte de fout pas nadat deze was gemaakt, niet ervoor.

Dat wijst op een bredere vraag voor cross-chain-liquiditeitsprotocollen. Hun betrouwbaarheid wordt begrensd door hoe goed ze omgaan met foutieve gegevens van de chains waarmee ze verbonden zijn, waaronder tijdelijke gegevens die later door een reorg worden teruggedraaid.

De witwasdimensie maakt het nog complexer. Chainalysis' koppeling tussen de halt en opbrengsten van de Binance-diefstal, verbonden aan aan DPRK gelieerde actoren, plaatst THORChain opnieuw middenin een terugkerende discussie: hoe een gedecentraliseerd protocol zou moeten reageren wanneer gestolen fondsen erdoorheen stromen.

Aandachtspunten vanaf hier zijn onder meer of node-operators stemmen om de halt voorbij het venster van 720 blokken te verlengen, hoe het protocol omgaat met de extra terugbetaling van 10 ETH, en of THORChain de manier verandert waarop het omgaat met Ethereum-reorgs.

Dit artikel is gebaseerd op berichtgeving van CryptoBriefing, geredigeerd door Estefano Gomez.