THORChain приостановил торговлю на 10 блокчейн-сетях после того, как ошибка обработки транзакции в Ethereum привела к несанкционированному возврату 10 ETH, временно нарушив работу межцепочечных свопов, которыми пользовались севрокорейские хакеры для отмывания средств от взлома Binance на 6,3 млрд долларов.

THORChain — это децентрализованный протокол ликвидности, позволяющий пользователям обменивать активы между разными блокчейнами без централизованного посредника — архитектура, которая неоднократно оказывалась на пути средств, похищенных с крупных криптовалютных площадок.

Инцидент 31 октября активировал автоматическое оповещение о платежеспособности и побудил операторов узлов к экстренному вмешательству: они приостановили вывод средств и торговлю, пока разработчики исследовали уязвимость. Затронутый пользователь впоследствии вернул 10 ETH, восстановив баланс хранилища.

Сбой также прервал движение похищенных активов Binance через THORChain, который уже обработал около 44 млн долларов транзакций, связанных с атакой. По состоянию на 1 ноября торговля оставалась приостановленной на Bitcoin, Ethereum, Solana, Tron, BNB Smart Chain, Cosmos, Bitcoin Cash, Dogecoin, Litecoin и Zcash, тогда как Avalanche, Base, нативная сеть THORChain RUNE и XRP Ledger продолжали работать.

Реорганизация в Ethereum привела к экстренной остановке THORChain

Инцидент начался в 11:34 UTC 31 октября, когда в Ethereum произошла реорганизация одного блока, в результате которой исчез депозит в 10 ETH, ранее обнаруженный THORChain. Реорганизация происходит, когда сеть заменяет недавно добавленный блок конкурирующей версией, а это означает, что транзакции, казавшиеся подтвержденными, могут на короткое время исчезнуть из канонической цепочки. Протокол уже зачислил депозит до того, как транзакция исчезла из канонической цепочки Ethereum. Когда связанный своп не выполнил ценовые условия, THORChain произвел возврат средств, которые его хранилище на самом деле никогда не получало. Легитимный депозит отправителя также был возвращен, в результате чего у протокола образовалась временная недостача в 10 ETH.

Автоматический механизм проверки платежеспособности THORChain обнаружил расхождение и остановил свопы в Ethereum. Операторы узлов приостановили подписание транзакций ETH примерно через две минуты, а затем распространили ограничения на другие сети.

Хотя недостающие 10 ETH были впоследствии возвращены, разработчики выявили потенциальную уязвимость в том, как протокол обрабатывает реорганизованные транзакции. Атакующий может использовать то же поведение при будущих реорганизациях блоков для запуска несанкционированных выплат. Основные разработчики готовят исправления, а операторы узлов отвечают за определение момента, когда отдельные сети смогут безопасно возобновить торговлю.

Хакеры Binance переместили 242 млн долларов через Tron

Остановка торговли совпала с попытками отмывания средств после рекордного взлома Binance на 6,3 млрд долларов, который власти США приписывают северокорейской операции TraderTraitor — так американские ведомства называют кампании КНДР, нацеленные на криптовалютные платформы.

Блокчейн-аналитик SomaXBT отследил перемещение около 242 млн долларов похищенных активов через Tron за два дня, в том числе примерно 194 млн долларов, проведенных через межцепочечные мосты и сервисы обмена. Такие сервисы привлекают внимание следствия, поскольку каждый переход меняет и цепочку, и токен, в которых перемещаются похищенные средства. Relay обработала около 48 млн долларов, далее THORChain — 44 млн долларов, Chainflip — 32,1 млн долларов и Symbiosis — 16 млн долларов.

По имеющимся данным, атакующие зачислили в THORChain 185,1 млн TRX и 3,83 млн USDT через 2 697 транзакций, получая ETH и BTC на множество адресов назначения. Неожиданная остановка временно заблокировала дополнительные свопы через затронутые сети, нарушив часть операции по отмыванию, хотя уже завершенные транзакции не были отменены.

ФБР официально возложило ответственность за кражу в Binance на TraderTraitor, призвав операторов узлов THORChain, биржи и сервисы децентрализованных финансов заблокировать адреса, связанные с похищенными средствами. Технический сооснователь THORChain Чад Баррфорд утверждал, что операторы узлов не располагают никакой информацией, кроме общедоступных блокчейн-данных, но не взял на себя обязательств по блокировке указанных адресов.

Эта полемика напоминает отмывание средств, похищенных в результате взлома Bybit на 1,5 млрд долларов, когда THORChain стал основным маршрутом конвертации похищенного Ethereum в Bitcoin. В отличие от централизованных бирж, THORChain в настоящее время не предлагает механизма выборочной блокировки отдельных транзакций; его экстренные меры применяются к целым сетям, затрагивая как легитимных пользователей, так и подозреваемых преступников.

После устранения недостачи в 10 ETH непосредственное финансовое расхождение было урегулировано. Однако большинство затронутых сетей остаются приостановленными в ожидании технических исправлений, и THORChain вновь оказывается под пристальным вниманием — как в вопросах межцепочечной безопасности, так и в вопросах движения нелегитимных криптовалют.