THORChain wstrzymał handel w 10 sieciach blockchain po błędzie w przetwarzaniu transakcji Ethereum, który wywołał nieautoryzowany zwrot 10 ETH, tymczasowo zakłócając wymiany międzyłańcuchowe wykorzystywane przez północnokoreańskich hakerów do prania pieniędzy z włamania na Binance o wartości 6,3 miliarda dolarów.

THORChain to zdecentralizowany protokół płynności, który pozwala użytkownikom wymieniać aktywa między różnymi blockchainami bez pośrednika scentralizowanego — konstrukcja, która wielokrotnie stawiała go na drodze środków skradzionych z największych giełd kryptowalut.

Incydent z 31 października aktywował automatyczny alert wypłacalności i wymusił interwencję awaryjną operatorów węzłów, którzy zawiesili wypłaty i handel, podczas gdy deweloperzy badali podatność. Dotknięty użytkownik później zwrócił 10 ETH, przywracając saldo sejfu.

Zakłócenie przerwało również przepływ skradzionych aktywów Binance przez THORChain, który przetworzył już około 44 milionów dolarów transakcji powiązanych z atakiem. Na dzień 1 listopada handel pozostawał zawieszony na Bitcoinie, Ethereum, Solanie, Tron, BNB Smart Chain, Cosmos, Bitcoin Cash, Dogecoin, Litecoin i Zcash, podczas gdy Avalanche, Base, natywna sieć RUNE THORChain oraz XRP Ledger pozostały operationalne.

Reorganizacja w Ethereum wywołuje awaryjne zatrzymanie THORChain

Incydent rozpoczął się o 11:34 UTC 31 października, gdy Ethereum doświadczyło reorganizacji jednego bloku, która usunęła depozyt 10 ETH wcześniej wykryty przez THORChain. Reorganizacje zachodzą, gdy sieć zastępuje niedawno dodany blok wersją konkurencyjną, co oznacza, że transakcje uznane za potwierdzone mogą krótkotrwale zniknąć z łańcucha kanonicznego. Protokół zdążył już zaksięgować depozyt, zanim transakcja zniknęła z łańcucha kanonicznego Ethereum. Gdy powiązana wymiana nie spełniła warunków cenowych, THORChain wypłacił zwrot z środków, których jego sejf nigdy faktycznie nie otrzymał. Legalny depozyt nadawcy również został zwrócony, pozostawiając protokół z tymczasowym brakiem 10 ETH.

Automatyczna kontrola wypłacalności THORChain wykryła rozbieżność i zatrzymała wymiany Ethereum. Operatorzy węzłów zawiesili podpisywanie transakcji ETH około dwie minuty później, a następnie rozszerzyli ograniczenia na inne sieci.

Chociaż brakujące 10 ETH zostało następnie zwrócone, deweloperzy zidentyfikowali potencjalną podatność w sposobie obsługi zreorganizowanych transakcji. Atakujący mógłby wykorzystać to samo zachowanie podczas przyszłych reorganizacji bloków, aby wywołać nieautoryzowane wypłaty. Główni deweloperzy przygotowują poprawki, a operatorzy węzłów odpowiadają za ustalenie, kiedy poszczególne sieci mogą bezpiecznie wznowić handel.

Hakerzy Binance przenoszą 242 miliony dolarów przez Tron

Zawieszenie handlu zbiegło się z próbami prania środków z rekordowego włamania na Binance o wartości 6,3 miliarda dolarów, które władze USA przypisują północnokoreańskiej operacji TraderTraitor — tak amerykańskie agencje określają północnokoreańskie kampanie wymierzone w platformy kryptowalutowe.

Śledczy blockchain SomaXBT prześledził około 242 miliony dolarów skradzionych aktywów przemieszczających się przez Tron w ciągu dwóch dni, w tym około 194 milionów dolarów skierowanych przez mosty międzyłańcuchowe i usługi wymiany. Takie usługi przyciągają uwagę śledczych, ponieważ każdy przeskok zmienia zarówno łańcuch, jak i token przenoszący skradzione środki. Relay obsłużył około 48 milionów dolarów, po czym THORChain z 44 milionami, Chainflip z 32,1 miliona i Symbiosis z 16 milionami.

Według doniesień atakujący wpłacili 185,1 miliona TRX i 3,83 miliona USDT do THORChain w ramach 2 697 transakcji, otrzymując ETH i BTC na liczne adresy docelowe. Nagłe zatrzymanie tymczasowo zablokowało kolejne wymiany przez dotknięte sieci, przerywając część operacji prania pieniędzy, choć transakcji już zakończonych nie cofnięto.

FBI formalnie ustaliło, że za kradzież na Binance odpowiada TraderTraitor, wzywając operatorów węzłów THORChain, giełdy i usługi zdecentralizowanych finansów do blokowania adresów powiązanych ze skradzionymi środkami. Współzałożyciel techniczny THORChain, Chad Barraford, utrzymywał, że operatorzy węzłów nie posiadają informacji wykraczających poza publicznie dostępne dane blockchain, ale nie zobowiązał się do blokowania wskazanych adresów.

Kontrowersja przypomina pranie środków skradzionych podczas włamania na Bybit o wartości 1,5 miliarda dolarów, gdy THORChain stał się główną trasą wymiany skradzionego Ethereum na Bitcoina. W przeciwieństwie do scentralizowanych giełd, THORChain nie oferuje obecnie mechanizmu selektywnego blokowania pojedynczych transakcji; jego kontrola awaryjna dotyczy całych sieci, dotykając zarówno legalnych użytkowników, jak i podejrzanych przestępców.

Po rozwiązaniu braku 10 ETH bezpośrednia rozbieżność finansowa została usunięta. Większość dotkniętych sieci pozostaje jednak zawieszona w oczekiwaniu na poprawki techniczne, pozostawiając THORChain pod zwiększoną kontrolą zarówno w kwestii bezpieczeństwa międzyłańcuchowego, jak i przepływu nielegalnych kryptowalut.