FBI poprosiło operatorów węzłów THORChain oraz inne usługi zdecentralizowanych finansów (DeFi) o blokowanie transakcji związanych z około 6,3 miliarda dolarów skradzionymi w wyniku włamania na Binance — prośba, która pokazuje, jak trudne staje się egzekwowanie prawa w sieci zaprojektowanej do działania bez centralnej kontroli.

Prośba wpłynęła 31 października. THORChain to międzyłańcuchowa sieć wymiany łącząca 13 blockchainów; jej węzły działają niezależnie i żadna pojedyncza instancja nie może zmusić ich do zablokowania transakcji.

Czego żądało FBI — i jak THORChain odpowiedział

Biuro przypisało kradzież z 29 października grupie TraderTraitor — swoje określenie dla hakerskiej operacji powiązanej z północnokoreańskim państwem — i poprosiło usługi o zablokowanie wskazanych portfeli oraz wszelkich transakcji z nich pochodnych. W oficjalnym ostrzeżeniu FBI podało, że atakujący konwertowali skradzione kryptowaluty na Ether.

Jak dotąd FBI zidentyfikowało 608 adresów Ethereum, 19 adresów Bitcoin oraz jeden adres Solana. Co istotne, nie wskazało żadnego adresu w sieci Tron, mimo że blockchain ten był szeroko wykorzystywany do przemieszczania skradzionych środków.

Chad Barraford, współzałożyciel techniczny THORChain, poinformował The Block, że oficjalna strona internetowa protokołu zablokowała wskazane adresy. Zauważył, że operatorzy węzłów i tak mogą już widzieć transakcje na publicznych blockchainach, ale spodziewa się, że niezależni operatorzy będą nadal przetwarzać transakcje jak dotąd.

Gdzie kończy się frontend, a zaczynają węzły

Kluczowe jest tutaj rozróżnienie między stroną internetową THORChain a samą siecią THORChain. Strona istnieje po to, by oferować interfejs wymiany, ale protokół działa na oddzielnych węzłach, do których można dotrzeć przez inne front endy. Ten podział jest powszechny w DeFi, gdzie front endy to opcjonalne interfejsy, a leżące pod nimi protokoły obsługiwane są przez niezależnych operatorów. Zablokowanie adresu na oficjalnej stronie nie powstrzymuje więc wykonania tej samej transakcji w innym miejscu, i pozostaje niejasne, czy operatorzy węzłów zablokowali oznaczone adresy w całej sieci.

Oddzielne wstrzymanie, które dotknęło zwykłych użytkowników

Niepowiązaną kwestią, która wstrzymała działalność handlową. 31 października reorganizacja bloku w Ethereum skłoniła THORChain do zwrotu 10 ETH związanego z sejfami, do których nie wpłynęły depozyty, a brak pokrycia wykrył kontroler wypłacalności sieci. Zmusiło to operatorów do przedłużenia przerwy i 1 listopada wstrzymano handel na 10 z 13 połączonych sieci. Wszystkie strony poniosły straty. Wstrzymanie miało chronić sieć — nie realizować prośby FBI.

Liczby to szacunki, a nie ustalone fakty

Tempo przemieszczania się skradzionych środków utrudnia dokładne oszacowanie łącznej kwoty. Analityk SomaXBT oszacował w poście na X, że około 242 miliony dolarów zostało przetransferowanych przez blockchain Tron w ciągu dwóch dni.

Większość tej kwoty — około 140 milionów dolarów — przemieszczono przez różne międzyłańcuchowe usługi: Relay przewiózł niemal 48 milionów dolarów, THORChain 44 miliony, Chainflip 32,1 miliona, a Symbiosis 16 milionów. Te liczby są szacunkami i nie sugerują, że THORChain miał jakąkolwiek wiedzę o działaniach hakerów.

Dlaczego kontrola pojedynczych portfeli może nie wystarczyć

Szybkie przemieszczanie się skradzionych środków utrudnia sprawdzanie portfeli pojedynczo. Firma analityczna Elliptic prześledziła około 12 000 portfeli na 11 blockchainach i ponad 40 000 transakcji w mniej niż cztery dni, znajdując ślady automatycznego prania pieniędzy, ale bez dowodów na to, że kierowały nim agenci AI. Przy środkach nieustannie przeskakujących do nowych portfeli stałe listy blokad mogą szybko tracić aktualność — a 628 dotychczas zidentyfikowanych przez FBI adresów obejmuje tylko ułamek tej aktywności.

Dla THORChain pytaniem jest, jak szybko może zareagować. W wcześniejszej debacie badaczka Taylor Monahan argumentowała, że sieć mogłaby wstrzymać podejrzane trasy. Barraford odpowiadał, że osiągnięcie konsensusu dwóch trzecich węzłów — zgody superwiększości operatorów — może zająć dni lub tygodnie, a szybsze działanie wymagałoby większej centralizacji kontroli.

Stawka: płynność, zgodność z przepisami i zaufanie

Binance tymczasem pracuje nad odbudową zaufania klientów. Giełda ukończyła dowód rezerw — migawkę pokazującą, czy wskazane salda klientów są pokryte aktywami — i obiecała pokryć straty.

Mimo to Reuters podał, że netto wypływy wyniosły 4,72 miliarda dolarów, około 3% aktywów platformy, mimo napływów w wysokości 2,7 miliarda dolarów. Cryptopolitan wcześniej analizował ekspozycję THORChain na skradzione środki.

Dalej obserwować należy konkretne sygnały: czy operatorzy węzłów THORChain zastosują listę FBI w całej sieci, czy do niej dodane zostaną adresy Tron i kiedy wznowiony zostanie handel na 10 zawieszonych sieciach. Najnowszy przypadek przywraca znaną kwestię na pierwszym planie: jak DeFi może utrzymać otwartą płynność, nie narażając zgodności z przepisami i zaufania użytkowników?