THORChain aktywował swój hamulec awaryjny 31 października 2026 roku, po tym jak reorganizacja łańcucha Ethereum spowodowała, że protokół międzyłańcuchowy dwukrotnie zwrócił tę samą depozyt. Wstrzymanie miało skutek uboczny o znaczeniu wykraczającym poza jedną błędną wypłatę: według firmy analitycznej Chainalysis pauza zbiegła się z próbami prania funduszy skradzionych z Binance, tymczasowo je spowalniając.

Co wydarzyło się na łańcuchu

31 października 2026 roku Ethereum przeszło przez nieoczekiwaną reorganizację, znaną powszechnie jako reorg. THORChain następnie omyłkowo wydał podwójny zwrot dla depozytu 10 ETH.

Reorg można sobie wyobrazić jako wspólny notes, w którym kilka osób zapisuje transakcje. Dwie osoby rejestrują przez chwilę różne wersje ostatniej strony, a grupa ostatecznie jedną wersję wyrywa i zachowuje drugą. W ujęciu technicznym sieć odrzuca niedawno potwierdzone bloki na rzecz konkurencyjnego łańcucha bloków. Transakcje, które wydawały się ostateczne, mogą zmienić pozycję, zniknąć lub pojawić się gdzie indziej. Głębokie reorgi na dużych sieciach takich jak Ethereum są rzadkie, ale to automatyczne protokoły działające na surowych danych łańcucha są systemami najbardziej narażonymi, gdy taki zdarzenie następuje.

Dla protokołu międzyłańcuchowego, który monitoruje Ethereum i reaguje na depozyty, tworzy to konkretne zagrożenie. Jeśli historia zaobserwowana przez protokół zostanie przepisana, może on zadziałać dwa razy na to samo zdarzenie. W tym przypadku oznaczało to podwójny zwrot jednej depozytu 10 ETH.

Podwójny zwrot uruchomił awaryjną pauzę THORChain. Handel i wymiany zatrzymano na 12 z 13 sieci obsługiwanych przez protokół.

Wyłączenie nie było całkowite. Podpisywanie transakcji wychodzących pozostało aktywne na większości dotkniętych sieci, co oznacza, że część transakcji mogła opuścić sieć, podczas gdy wymiany były zamrożone.

Jak działa awaryjna pauza

THORChain jest zarządzany przez operatorów węzłów, a jego zasady pozwalają im priorytetowo traktować integralność sieci nad dostępnością, podczas gdy problem jest badany.

Takie wstrzymanie może trwać do 720 bloków, czyli około 1,5 godziny. Dodatkowe głosy węzłów mogą je przedłużyć.

Mechanizm działa jak wyłącznik bezpieczeństwa. Zamiast kontynuować przetwarzanie danych, które sieć uznaje za podejrzane, zatrzymuje się, daje operatorom węzłów czas na dochodzenie i pozwala ponownemu głosowaniu zdecydować, kiedy handel zostanie wznowiony. Tradycyjne rynki akcji nakładają podobne wstrzymania handlu z tego samego powodu: powstrzymać usterkę, zanim się pogłębi.

Powiązanie z Binance

Niezwykłym elementem incydentu jest to, kto jeszcze został dotknięty. Chainalysis powiązała awaryjne wstrzymanie z funduszami skradzionymi z Binance, a firmę wiążącą działalność prania z aktorami z DPRK, czyli grupami związanymi z Koreą Północną. Firmy analityczne, w tym Chainalysis, przypisały niektóre z największych kradzieży kryptowalut w historii grupom związanym z DPRK, a pranie takich funduszy zazwyczaj wymaga przemieszczania ich przez miejsca, gdzie można je wymienić na trudniejsze do śledzenia aktywa.

Przy zamrożonych wymianach na 12 sieciach każda osoba próbująca przepchnąć te fundusze przez THORChain musiała czekać. Szybkie przemieszczanie aktywów między łańcuchami to powszechna technika utrudniania śledzenia skradzionych pieniędzy, więc nawet krótka zwłoka daje śledczym dodatkowy czas.

Sama pauza została wywołana przez reorganizację Ethereum i podwójny zwrot, a nie przez celowe działanie przeciwko skradzionym funduszom. Odkrycie Chainalysis wskazuje, że opóźnienie przypadkowo trafiło na aktywność związaną z kradzieżą z Binance.

Nie pierwsze wstrzymanie THORChain

Incydent nie był pierwszym operacyjnym wstrzymaniem protokołu w 2026 roku. Wcześniej w tym roku THORChain zmagał się z exploitami oraz wstrzymaniami związanymi z ZEC i TRON. Ten zapis wpisuje się w ogólnobranżowy wzorzec: mosty międzyłańcuchowe i sieci płynności należą do najczęściej atakowanych kategorii infrastruktury kryptowalutowej w branżowych raportach o exploitach, co skłoniło wiele protokołów do wprowadzenia wbudowanych mechanizmów pauzy i szybszej reakcji na incydenty.

Protokół opiera się na swoim natywnym tokenie RUNE, by działać jako zdecentralizowana sieć płynności. Jego główną ofertą są natywne wymiany międzyłańcuchowe, które nie zależą od scentralizowanej giełdy pośredniczącej.

Ta propozycja ma swoją cenę. Każda sieć dodana przez THORChain to kolejne miejsce, gdzie coś może pójść nie tak, a zdarzenie na jednej połączonej sieci, takie jak reorganizacja Ethereum, może wymusić pauzę na niemal całej sieci.

Co to oznacza dla użytkowników i protokołu

Dla użytkowników THORChain incydent ilustruje zarówno wartość, jak i ograniczenia siatki bezpieczeństwa. Awaryjna pauza zadziałała zgodnie z projektem: wykryła anomaliię i zatrzymała aktywność, zanim mogły narastać dalsze szkody. W praktyce oczekujące wymiany pozostały niezakończone, dopóki operatorzy węzłów nie zagłosowali za wznowieniem, a częściowo otwarte podpisywanie wychodzące oferowało jedyną drogę wyjścia dla części transakcji.

Podwójny zwrot został jednak już wypłacony. Protokół wykrył błąd po jego popełnieniu, a nie przed.

Wskazuje to na szersze pytanie dla protokołów płynności międzyłańcuchowej. Ich niezawodność jest ograniczona przez to, jak radzą sobie z błędnymi danymi z łańcuchów, z którymi są połączone, w tym z danymi tymczasowymi, które później zostają odwrócone przez reorg.

Wymiar nielegalnych finansów dodaje kolejną warstwę złożoności. Powiązanie przez Chainalysis między wstrzymaniem a funduszami z kradzieży z Binance związanymi z aktorami z DPRK przywraca THORChain do powtarzającej się debaty: jak protokół zdecentralizowany powinien reagować, gdy przez niego przechodzą skradzione fundusze.

Kwestie do obserwowania to: czy operatorzy węzłów zagłosują za przedłużeniem wstrzymania poza okno 720 bloków, jak protokół obsłuży dodatkowy zwrot 10 ETH oraz czy THORChain zmieni sposób radzenia sobie z reorganizacjami Ethereum.

Artykuł oparty na doniesieniach CryptoBriefing, redakcja: Estefano Gomez.