THORChain schortte de handel op tien blockchainnetwerken op nadat een verwerkingsfout bij een Ethereum-transactie leidde tot een ongeautoriseerde terugbetaling van 10 ETH, waardoor de cross-chain swaps die Noord-Koreaanse hackers gebruikten om de opbrengsten van de security-inbreuk van 6,3 miljard dollar bij Binance te witwassen tijdelijk werden verstoord.

THORChain is een gedecentraliseerd liquiditeitsprotocol waarmee gebruikers activa kunnen swappen over verschillende blockchains zonder centrale tussenpersoon — een ontwerp dat herhaaldelijk in het pad van gestolen fondsen van grote cryptoplatformen heeft gestaan.

Het incident op 31 oktober activeerde een automatische solvabiliteitswaarschuwing en leidde tot noodingrepen door node operators, die opnames en handel opschortten terwijl ontwikkelaars de kwetsbaarheid onderzochten. De betrokken gebruiker gaf de 10 ETH vervolgens terug, waarmee het saldo van de vault werd hersteld.

De verstoring onderbrak ook de stroom van gestolen Binance-activa via THORChain, dat al ongeveer 44 miljoen dollar aan transacties had verwerkt die met de aanval verband hielden. Per 1 november bleef de handel geschorst op Bitcoin, Ethereum, Solana, Tron, BNB Smart Chain, Cosmos, Bitcoin Cash, Dogecoin, Litecoin en Zcash, terwijl Avalanche, Base, THORChains eigen RUNE-netwerk en de XRP Ledger operationeel bleven.

Ethereum-reorganisatie leidt tot noodstillegging THORChain

Het incident begon om 11:34 UTC op 31 oktober, toen Ethereum een reorganisatie van één blok ondervond die een storting van 10 ETH verwijderde die THORChain eerder had gedetecteerd. Reorganisaties doen zich voor wanneer het netwerk een recent toegevoegd blok vervangt door een concurrerende versie, waardoor transacties die als bevestigd leken kort van de canonieke keten kunnen verdwijnen. Het protocol had de storting al bijgeschreven voordat de transactie van de canonieke keten van Ethereum verdween. Toen de bijbehorende swap niet aan zijn prijsvoorwaarden voldeed, voerde THORChain een terugbetaling uit met middelen die zijn vault in werkelijkheid nooit had ontvangen. De legitieme storting van de verzender werd ook terugbetaald, waardoor het protocol tijdelijk een tekort van 10 ETH had.

THORChains geautomatiseerde solvabiliteitscontrole detecteerde het verschil en schortte Ethereum-swaps op. Node operators schortten het ondertekenen van ETH-transacties circa twee minuten later op en breidden de beperkingen vervolgens uit naar andere netwerken.

Hoewel de ontbrekende 10 ETH uiteindelijk werd teruggegeven, identificeerden ontwikkelaars een mogelijke kwetsbaarheid in de manier waarop het protocol met gereorganiseerde transacties omgaat. Een aanvaller zou hetzelfde gedrag bij toekomstige blokreorganisaties kunnen misbruiken om ongeautoriseerde uitbetalingen te activeren. Kernontwikkelaars bereiden fixes voor, en node operators bepalen wanneer individuele netwerken veilig de handel kunnen hervatten.

Binance-hackers verplaatsen 242 miljoen dollar via Tron

De stillegging viel samen met pogingen om fondsen te witwassen uit de recordbrekende security-inbreuk van 6,3 miljard dollar bij Binance, die Amerikaanse autoriteiten toeschrijven aan de Noord-Koreaanse operatie TraderTraitor, de benaming die Amerikaanse instanties gebruiken voor Noord-Koreaanse campagnes gericht op cryptoplatformen.

Blockchainonderzoeker SomaXBT spoerde circa 242 miljoen dollar aan gestolen activa op die in twee dagen via Tron werden verplaatst, waaronder ruim 194 miljoen dollar die via cross-chain bridges en swapdiensten werd geleid. Dergelijke diensten trekken de aandacht van onderzoekers omdat elke stap zowel de keten als de token die de gestolen fondsen vervoert, verandert. Relay verwerkte circa 48 miljoen dollar, gevolgd door THORChain met 44 miljoen dollar, Chainflip met 32,1 miljoen dollar en Symbiosis met 16 miljoen dollar.

De aanvallers stortten naar verluidt 185,1 miljoen TRX en 3,83 miljoen USDT bij THORChain via 2.697 transacties, waarbij zij ETH en BTC ontvingen op tal van bestemmingsadressen. De onverwachte stillegging blokkeerde tijdelijk extra swaps via de getroffen netwerken en onderbrak een deel van de witwasoperatie, hoewel reeds voltooide transacties niet werden teruggedraaid.

De FBI heeft TraderTraitor formeel aangemerkt als verantwoordelijk voor de diefstal bij Binance, en roept THORChain node operators, beurzen en gedecentraliseerde financiediensten op adressen die met de gestolen fondsen verband houden te blokkeren. THORChains technische medeoprichter Chad Barraford hield vol dat node operators geen informatie bezitten verder dan publiek beschikbare blockchaindata, maar verbond zich er niet toe de geïdentificeerde adressen te blokkeren.

De controverse doet denken aan het witwassen van fondsen die zijn gestolen bij de Bybit-hack van 1,5 miljard dollar, waarbij THORChain een belangrijke route werd voor het omzetten van gestolen Ethereum in Bitcoin. In tegenstelling tot gecentraliseerde beurzen biedt THORChain momenteel geen mechanisme om individuele transacties selectief te blokkeren; de noodmaatregelen gelden voor hele netwerken en treffen zowel legitieme gebruikers als vermoedelijke criminelen.

Met het tekort van 10 ETH opgelost is de directe financiële discrepantie verholpen. De meeste getroffen netwerken blijven echter geschorst in afwachting van technische fixes, waardoor THORChain opnieuw onder de loep ligt wat betreft zowel cross-chain security als de stroom van illegale cryptovaluta.