THORChain активировал аварийный тормоз 31 октября 2026 года после того, как реорганизация блокчейна Ethereum заставила кроссчейн-протокол дважды вернуть один и тот же депозит. Остановка имела побочный эффект, выходящий за рамки одной ошибочной выплаты: по данным компании блокчейн-аналитики Chainalysis, пауза совпала с попытками отмыва средств, похищенных у Binance, и временно их замедлила.

Что произошло в блокчейне

31 октября 2026 года Ethereum пережил неожиданную реорганизацию, обычно называемую reorg. После этого THORChain по ошибке выдал дублирующий возврат по депозиту в 10 ETH.

Реорганизацию можно представить как общую тетрадь, которую несколько человек используют для записи транзакций. Двое участников кратко фиксируют разные версии последней страницы, и группа в итоге вырывает одну версию, оставляя другую. С технической точки зрения сеть заменяет недавно подтвержденные блоки конкурирующей цепочкой блоков. Транзакции, казавшиеся финализированными, могут сместиться, исчезнуть или появиться в другом месте. Глубокие реорганизации в крупных сетях вроде Ethereum редки, однако автоматизированные протоколы, действующие на основе необработанных данных цепочки, — это именно те системы, которые наиболее уязвимы при их возникновении.

Для кроссчейн-протокола, который отслеживает Ethereum и реагирует на депозиты, это создает конкретную угрозу. Если наблюдавшаяся протоколом история переписывается, он может среагировать на одно и то же событие дважды. В данном случае это означало двойную выплату по одному депозиту в 10 ETH.

Дублирующий возврат активировал аварийную паузу THORChain. Торговля и обмены остановились на 12 из 13 цепочек, поддерживаемых протоколом.

Остановка не была полной. Исходное подписание оставалось активным на большинстве затронутых цепочек, то есть некоторые транзакции все еще могли покидать сеть при замороженных обменах.

Как работает аварийная пауза

THORChain управляется операторами узлов, и его правила позволяют им ставить целостность сети выше времени безотказной работы на время расследования проблемы.

Подобная остановка может длиться до 720 блоков, или примерно 1,5 часа. Дополнительные голоса узлов могут продлить ее.

Механизм работает как автоматический выключатель. Вместо того чтобы продолжать обработку данных, которые сеть считает сомнительными, он останавливается, дает операторам узлов время на расследование и позволяет повторному голосованию решить, когда возобновится торговля. Традиционные фондовые рынки вводят аналогичные остановки торгов по той же причине: локализовать сбой, пока он не усугубился.

Связь с Binance

Необычный аспект инцидента — кто еще оказался затронут. Chainalysis связала аварийную остановку со средствами, похищенными у Binance, а активность по отмыву — с группировками, ассоциированными с КНДР. Аналитические компании, включая Chainalysis, приписывали некоторые из крупнейших криптовалютных краж в истории группировкам, связанным с КНДР, а отмыв такой добычи обычно требует перемещения средств через площадки, где их можно обменять на труднее отслеживаемые активы.

С замороженными обменами на 12 цепочек любой, кто пытался провести эти средства через THORChain, был вынужден ждать. Быстрое перемещение активов между цепочками — распространенный способ затруднить отслеживание украденных денег, поэтому даже короткая задержка дает следователям дополнительное время.

Сама пауза была вызвана реорганизацией Ethereum и двойным возвратом, а не целенаправленными действиями против похищенных средств. Вывод Chainalysis означает, что задержка случайно пришлась на активность, связанную с кражей у Binance.

Не первая остановка THORChain

Инцидент стал не первой операционной остановкой протокола в 2026 году. Ранее в этом году THORChain столкнулся с эксплойтами, а также с остановками, связанными с ZEC и TRON. Эта картина соответствует общеотраслевой тенденции: кроссчейн-мосты и сети ликвидности входят в число наиболее часто атакуемых категорий криптоинфраструктуры по данным отраслевых отчетов об эксплойтах, что побудило многие протоколы внедрять встроенные механизмы паузы и более быстрое реагирование на инциденты.

Протокол полагается на свой нативный токен RUNE для работы как децентрализованная сеть ликвидности. Его основное предложение — нативные кроссчейн-обмены, не зависящие от централизованной биржи в качестве посредника.

У этого предложения есть цена. Каждая новая цепочка, добавляемая THORChain, — это еще одно место, где может что-то пойти не так, а событие в одной подключенной цепочке, например реорганизация Ethereum, способно вызвать паузу почти во всей сети.

Что это значит для пользователей и протокола

Для пользователей THORChain инцидент демонстрирует как ценность, так и ограничения защитного механизма. Аварийная пауза сработала так, как задумано: она обнаружила аномалию и остановила активность до накопления дальнейшего ущерба. На практике незавершенные обмены оставались в подвешенном состоянии, пока операторы узлов не проголосуют за возобновление, а частично открытое исходное подписание оставалось единственным путем для выхода некоторых транзакций.

Однако двойной возврат уже был произведен. Протокол обнаружил ошибку после ее совершения, а не до.

Это указывает на более широкий вопрос для кроссчейн-протоколов ликвидности. Их надежность ограничена тем, насколько хорошо они обрабатывают некорректные данные из подключаемых цепочек, включая временные данные, которые впоследствии отменяются реорганизацией.

Аспект незаконных финансов добавляет еще один слой сложности. Связь остановки с добычей от кражи у Binance, ассоциированной с группировками КНДР, возвращает THORChain к повторяющимся дебатам: как децентрализованный протокол должен реагировать, когда через него проходят похищенные средства.

С этого момента стоит следить за тем, проголосуют ли операторы узлов за продление остановки за пределы окна в 720 блоков, как протокол разберется с лишним возвратом в 10 ETH и изменит ли THORChain подход к работе с реорганизациями Ethereum.

Эта статья основана на репортаже CryptoBriefing, редактор — Эстефано Гомес.