THORChain odrzucił wezwania do zablokowania adresów powiązanych z eksploitem Bitget z 24 września, broniąc swojej architektury bezpermissionowej, gdy rośnie krytyka dotycząca tego, czy kontrolowane przez walidatorów skarbce protokołu cross-chain czynią go porównywalnym z sieciami warstwy bazowej, takimi jak Bitcoin czy Ethereum. Spór stał się publicznym testem tego, jak infrastruktura bezpermissionowa obchodzi się ze zidentyfikowanymi skradzionymi środkami oraz czy twierdzenia o decentralizacji wytrzymują konfrontację z własną, udokumentowaną kontrolą awaryjną protokołu.

Giełda podniosła również szacunki strat. Bitget potwierdził w oficjalnym oświadczeniu, że podczas włamania do portfela przekazano około 387,5 mln USD na adresy kontrolowane przez atakującego — więcej niż pierwotne szacunki 351,6 mln USD po zakwalifikowaniu dodatkowych transakcji w Zcash i TRON.

CEO Bitget Gracy Chen publicznie poprosiła THORChain o odmowę obsługi zidentyfikowanych adresów, pisząc w poście na X, że „centralizacja jest zasadą projektową, a nie tarczą ułatwiającą przepływ znanych skradzionych środków”.

THORChain odpowiedział we własnym poście na X, określając się jako „zdecentralizowany i bezpermissionowy jak Bitcoin, Ethereum i BNB Chain”, pytając, jaką odpowiedzialność powinny ponosić te sieci, gdy przechodzą przez nie znane skradzione środki.

Star Xu kwestionuje porównanie THORChain do Bitcoina

Założyciel i CEO OKX Star Xu zakwestionował to porównanie w poście na X, koncentrując się na schemacie podpisów progowych (Threshold Signature Scheme) THORChain i architekturze skarbców kontrolowanych przez walidatorów.

Xu argumentował, że wybrany zestaw walidatorów protokołu zbiorowo kontroluje aktywa przechowywane w skarbcach TSS i może nimi dysponować po osiągnięciu wymaganego progu podpisów. Opisał THORChain jako pośrednika stojącego między użytkownikami a łańcuchami natywnymi, dodając: „Rozproszenie pośrednika nie eliminuje pośrednika”.

W drugiej odpowiedzi Xu wskazał na własną interwencję THORChain podczas majowego exploitu skarbców, argumentując, że udokumentowana zdolność do zatrzymania aktywności sieci odróżnia go od architektury warstwy bazowej Bitcoina.

Raport o incydencie THORChain potwierdza, że automatyczne mechanizmy kontroli wypłacalności najpierw wstrzymały podpisywanie i handel w kilku łańcuchach po wyprowadzeniu około 10,7 mln USD. Operatorzy węzłów nałożyli następnie ręczne pauzy i oddali głosy w zarządzaniu Mimir, doprowadzając w ciągu około dwóch godzin do pełnego, kontrolowanego zatrzymania handlu, podpisywania, obserwacji łańcuchów i rotacji węzłów.

Raport kwartalny za Q2 protokołu odnotowuje znacznie dłuższą przerwę niż 13-godzinny okres przywołany w poście Xu: THORChain pozostawał offline przez około pięć tygodni, zanim uruchomiono go ponownie 22 czerwca z załatanym kodem TSS i frameworkiem odzyskiwania ADR-028.

Dokumentacja THORChain potwierdza szerokie uprawnienia do zatrzymania

Procedury awaryjne THORChain wprost opisują funkcję make pause jako „wielki czerwony przycisk, który zatrzymuje wszystko”. Operator węzła może zainicjować pauzę sieci trwającą 720 bloków, a dodatkowi operatorzy mogą ją przedłużać. Węzły mogą również głosować przez Mimir o wstrzymaniu podpisywania dla poszczególnych połączonych łańcuchów.

Te mechanizmy potwierdzają, że operatorzy THORChain mogą przerywać aktywność protokołu. Opublikowana dokumentacja nie opisuje jednak równoważnego mechanizmu na poziomie protokołu, który pozwalałby na selektywne umieszczenie jednego zewnętrznego portfela na czarnej liście przy jednoczesnym umożliwieniu kontynuowania wszystkich pozostałych swapów. Ta luka definiuje praktyczny impas stanowiący rdzeń konfliktu: Bitget zażądał blokowania na poziomie adresów, podczas gdy udokumentowane narzędzia awaryjne obejmują wyłącznie zatrzymania sieciowe lub dotyczące konkretnych łańcuchów.

MistTrack, platforma śledzenia onchain należąca do SlowMist, również włączyła się do sporu po prześledzeniu środków powiązanych z Bitget wchodzących do THORChain w ramach swapów i transferów międzyłańcuchowych. Argumentowano, że „decentralizacja nie powinna stać się uniwersalną wymówką”, gdy chodzi o publicznie oznaczone skradzione środki.

Badaczka bezpieczeństwa Taylor Monahan niezależnie zakwestionowała argument THORChain o nieingerencji w poście na X, wskazując na udokumentowaną zdolność sieci do wstrzymania operacji i koordynowania zmian w protokole.

Bitget poinformował, że część dotkniętych aktywów została już zamrożona dzięki współpracy z giełdami, projektami blockchain i firmami bezpieczeństwa. Program odzyskiwania oferuje obecnie 5% nagrody za kwalifikujące się działania, które bezpośrednio prowadzą do zamrożenia lub odzyskania skradzionych aktywów. To, czy THORChain utrzyma stanowisko nieingerencji oraz ile ze zaktualizowanej kwoty 387,5 mln USD ostatecznie zostanie odzyskane, stanowią najbliższe wskaźniki warte obserwacji.