طعنت GoPlus Security في مزاعم THORChain بشأن اللامركزية، قائلةً إن خزائنها الخاضعة لسيطرة المدققين وآليات الطوارئ فيها تمنح مشغلي العقد صلاحيات تختلف عن تلك الموجودة في بيتكوين وإيثريوم.

قالت GoPlus Security في 27 سبتمبر إن THORChain لا ينبغي لها أن تقارن بنيتها متعددة السلاسل مباشرةً بشبكات الطبقة الأولى اللامركزية عند شرح سبب تعذر حظر الأموال المسروقة. وأشارت الشركة إلى خزائن THORChain ذات التوقيع العتبي، ومجموعة المدققين النشطين، وضوابط الحوكمة الطارئة.

ويأتي هذا الانتقاد في أعقاب تجدد التدقيق بشأن الأموال المسروقة التي تم توجيهها عبر THORChain بعد اختراق Bitget. وتزعم GoPlus أن نحو 101.5 BTC مرتبطة بالحادثة قد خرجت بالفعل عبر البروتوكول، بينما كان يجري توجيه 27.63 مليون XRP أخرى نحو بيتكوين.

ولم تؤكد Bitget علنًا أن جهات كورية شمالية نفذت هجوم سبتمبر عليها. وقالت المنصة إن المحققين رصدوا أوجه تشابه أولية في عناوين IP وشبكات VPN مرتبطة بنشاطات سابقة نُسبت إلى كوريا الشمالية، لكن الإسناد ظل غير مؤكد، وفقًا لما أفاد به crypto.news بعد اختراق Bitget.

يمكن لمدققي THORChain إيقاف التوقيع أثناء حالات الطوارئ

استندت GoPlus في جزء من حجتها إلى ضوابط موثقة من THORChain نفسها. وتنص إجراءات الطوارئ في THORChain على أن مشغل العقدة يمكنه إصدار أمر إيقاف عند مواجهة الأموال تهديدًا حرجًا. ويستمر الإيقاف الواحد 720 كتلة، أو نحو ساعة تقريبًا، بينما يمكن لعقد إضافية تمديد التوقف.

بعد ذلك يمكن لمشغلي العقد التصويت على تدابير أكثر استهدافًا عبر Mimir، وهو نظام معلمات البروتوكول على السلسلة. وتدرج وثائق THORChain إيقافات التداول، والتوقفات الخاصة بسلاسل معينة، وضوابط التوقيع ضمن إجراءات الطوارئ المتاحة.

وجادلت GoPlus بأن هذه الضوابط تميز THORChain عن إجماع الطبقة الأساسية في بيتكوين أو إيثريوم. وتستخدم THORChain التوقيعات العتبية لتفويض المعاملات الصادرة من الخزائن المشتركة، ما يعني أن العقد المشاركة تدير بشكل جماعي عملية التوقيع الخاصة بالمقايضات عبر السلاسل.

وتصف THORChain الآلية نفسها بأنها تصميم أمني يهدف إلى توزيع السيطرة بين مشغلي العقد المستقلين بدلًا من وضع مفاتيح الخزائن لدى جهة واحدة.

ويقول تقرير الاستغلال الصادر عن البروتوكول في مايو إن معلمات Mimir التشغيلية يمكن تفعيلها بعد تصويت ثلاث عقد. ويمكن لأربعة أصوات إلغاء القرار، فيما يمكن لخمسة أصوات أخرى إعادة تفعيله. أما المعلمات الاقتصادية فتتطلب أغلبية فائقة بثلثي الأصوات.

واستشهدت GoPlus بهذه الخصائص عند قولها إن THORChain تمتلك آليات قادرة على إيقاف تدفقات محددة عندما يعتقد المشغلون أن الأموال معرضة للخطر.

أظهر استغلال مايو أن THORChain قادرة على تنسيق إيقاف

استخدمت THORChain هذه الضوابط خلال حادثها الأمني الخاص في 15 مايو.

فقد استغل مدقق خبيث نقاط ضعف في مخطط التوقيع العتبي GG20 الخاص بالبروتوكول، وأعاد تكوين المفتاح الخاص لإحدى خزائن Asgard. وتم استنزاف نحو 10.7 مليون دولار قبل أن تتوقف الشبكة بالكامل.

واكتشفت مراقبة الملاءة الآلية أولًا أرصدة غير منتظمة في الخزائن، وأوقفت التوقيع والتداول على عدة سلاسل. ثم نسق مشغلو العقد عبر Discord واستخدموا إيقافات يدوية وتصويتات Mimir لوقف التداول والتوقيع ومراقبة السلاسل وتدوير المدققين.

ويقول تقرير الاستغلال الرسمي لـ THORChain إن نحو 18 إلى 20 عقدة راكمت أوامر الإيقاف أثناء الاستجابة. وتم الوصول إلى توقف كامل ومضبوط خلال نحو ساعتين بعد أن أطلق أعضاء المجتمع التحذير.

وظلت الشبكة متوقفة لمدة تقارب خمسة أسابيع. واستؤنف التداول في 23 يونيو بعد إدخال كود توقيع مُصحح، وفحوصات للخزائن، وإجراءات تعافٍ وافقت عليها الحوكمة.

وكما أفاد crypto.news عند استئناف التداول، أعادت THORChain عمليات المقايضة والتوقيع والتدوير وعمليات السيولة بعد استكمال عملية إعادة التشغيل.

وأشارت GoPlus إلى هذا التدخل باعتباره دليلًا على أن مشغلي THORChain يمتلكون أدوات عملية لإيقاف نشاط الشبكة عندما تصل المخاوف الأمنية إلى عتبة الطوارئ.

يبقى الخلاف حول غسل أموال Bybit محورًا أساسيًا في الجدل

يعود الخلاف بشأن المعاملات غير المشروعة إلى اختراق Bybit في فبراير 2025. فقد نسب مكتب التحقيقات الفيدرالي رسميًا سرقة نحو 1.5 مليار دولار من الأصول الافتراضية من Bybit إلى كوريا الشمالية. وحدد إعلانه العام هذا النشاط باعتباره جزءًا من حملة TraderTraitor.

وشجعت الوكالة بشكل خاص المنصات، والجسور، ومشغلي RPC، وخدمات التمويل اللامركزي DeFi، وشركات البلوكشين على حظر المعاملات التي تشمل عناوين مرتبطة بالأصول المسروقة.

وجرى لاحقًا تحويل جزء كبير من إيثريوم المسروق إلى بيتكوين عبر خدمات متعددة السلاسل. وقال الرئيس التنفيذي لـ Bybit، بن تشو، إن نحو 72% من أصول محولة بقيمة تقارب 900 مليون دولار قد مرت عبر THORChain.

وأفاد crypto.news في مارس 2025 بأن المهاجمين حوّلوا معظم 499,000 ETH المسروقة خلال عشرة أيام، مع تعامل THORChain مع حصة كبيرة من المقايضات.

وفي وقت مبكر من فترة غسل الأموال تلك، سجلت THORChain حجم تداول بلغ 2.91 مليار دولار وإيرادات رسوم بنحو 3 ملايين دولار خلال خمسة أيام، وفقًا لبيانات على السلسلة استشهد بها crypto.news.

ويستخدم منشور GoPlus الجديد تقديرًا لاحقًا يبلغ نحو 5.9 مليار دولار في الحجم و5.5 مليون دولار في الرسوم. وهذه الأرقام هي من حسابات شركة الأمن ولم يتم تأكيدها في الإفصاحات المالية لـ THORChain.

تم التراجع عن تصويت سابق في THORChain لحظر التدفقات

أنتجت واقعة Bybit خلافًا داخليًا بين مساهمي THORChain ومدققيها. ففي فبراير 2025، صوّت ثلاثة مدققين على وقف تداول إيثريوم بينما كانت أموال Bybit المسروقة تمر عبر البروتوكول. وقال المطور أوليغ بيتروف لاحقًا إن هذا الإجراء تم التراجع عنه خلال دقائق.

وقال المساهم الأساسي Pluto لاحقًا إنه سيتوقف عن المساهمة في THORChain. كما قال المدقق TCB في ذلك الوقت إنه قد يغادر أيضًا ما لم تطور الشبكة وسيلة لوقف التدفقات المرتبطة بكوريا الشمالية.

وأيد مؤسس THORChain جون-بول ثوربيورنسن استمرار التداول، وعارض السماح لطرف ثالث غير ذي صفة رسمية بتحديث قوائم الرفض على مستوى البروتوكول بشكل ديناميكي.

وقال ثوربيورنسن إنه سيدعم العقد التي تستخدم قوائم رفض ثابتة تستند إلى معلومات رسمية من OFAC أو FBI إذا كان المشغلون الأفراد مرتاحين لذلك.

وتجادل GoPlus الآن بأن الإسناد الحكومي الرسمي يوفر أساسًا أقوى للتدخل من القوائم الديناميكية التي تحتفظ بها شركات الأمن الخاصة.

وقد طلب إشعار FBI الخاص بـ Bybit لعام 2025 صراحةً من خدمات الأصول الافتراضية في القطاع الخاص حظر المعاملات التي تتضمن أو تنبثق من عناوين TraderTraitor المدرجة.

تدفقات Bitget تجدد النزاع حول اللامركزية

أعادت GoPlus الحجج السابقة إلى الواجهة بعد اختراق Bitget في سبتمبر. وتزعم الشركة أن نحو 101.5 BTC بقيمة تقارب 8.5 مليون دولار قد خرجت بالفعل عبر THORChain من تدفقات مرتبطة بـ Bitget. وقالت إن 27.63 مليون XRP أخرى، تُقدّر قيمتها بنحو 43 مليون دولار، كانت تتحرك عبر المقايضات نحو بيتكوين.

وتستند هذه الأرقام إلى تتبع GoPlus ويجب التعامل معها على أنها تحليل من شركة الأمن، لا أرقام مؤكدة من Bitget أو THORChain.

ورفعت Bitget تقديرها المؤكد للأصول التي نُقلت إلى عناوين يسيطر عليها المهاجم إلى نحو 387.5 مليون دولار. وقد بدأت المنصة في تقديم مكافآت استرداد وتخطط لإعادة تفعيل السحوبات على مراحل اعتبارًا من 28 سبتمبر. وأفاد crypto.news بالخسارة المحدثة وبرنامج المكافآت في 26 سبتمبر.

وقالت GoPlus إن THORChain يمكنها استخدام إطار الطوارئ الحالي لديها للأموال المرتبطة بعناوين حددتها رسميًا جهات مثل FBI أو OFAC.

وتعرّف إجراءات الطوارئ الموثقة في THORChain الحدث الحرج بأنه الحدث الذي تواجه فيه الأموال الموجودة في المجمعات أو الخزائن هجومًا أو تهديدًا آخر لأمن البروتوكول. وتوجّه الوثائق مشغلي العقد إلى بدء الإيقافات والتصويت على إجراءات طوارئ مستهدفة في ظل هذه الظروف.

وتمثل مسألة ما إذا كان ينبغي تطبيق الإطار نفسه على الأصول المسروقة خارجيًا التي تمر عبر THORChain جوهر النزاع الذي تثيره GoPlus. فالإجراءات المنشورة لـ THORChain تصف حالات طوارئ أمنية تقنية، لكنها لا تنص على أن كل سرقة من طرف ثالث تتطلب تلقائيًا إيقاف البروتوكول.