Hinamon ng GoPlus Security ang mga pahayag ng THORChain tungkol sa desentralisasyon, na iginiit na ang mga vault na kontrolado ng validator at mga mekanismo nito para sa emergency ay nagbibigay sa mga node operator ng kapangyarihang naiiba sa Bitcoin at Ethereum.
Sinabi ng GoPlus Security noong Set. 27 na hindi dapat direktang ihambing ng THORChain ang cross-chain architecture nito sa mga desentralisadong Layer 1 network kapag ipinapaliwanag kung bakit hindi maaaring harangin ang mga ninakaw na pondo. Itinuro ng kumpanya ang threshold-signature vaults ng THORChain, aktibong hanay ng validator at mga emergency governance control nito.
Kasunod ang kritisismong ito ng panibagong pagsisiyasat sa mga ninakaw na pondong idinaan sa THORChain matapos ang paglabag sa Bitget. Ayon sa GoPlus, humigit-kumulang 101.5 BTC na konektado sa insidente ang nakalabas na sa protocol, habang isa pang 27.63 milyong XRP ang idinadaan patungong Bitcoin.
Hindi pa pampublikong kinukumpirma ng Bitget na mga aktor mula sa North Korea ang nagsagawa ng pag-atake nito noong Setyembre. Sinabi ng exchange na nakakita ang mga imbestigador ng paunang pagkakatulad sa IP at VPN na may kaugnayan sa mga naunang aktibidad na iniuugnay sa North Korea, ngunit nananatiling hindi pa kumpirmado ang atribusyon, gaya ng iniulat ng crypto.news pagkatapos ng paglabag sa Bitget.
Ibinatay ng GoPlus ang bahagi ng argumento nito sa mga kontrol na mismong nakadokumento ng THORChain. Ayon sa mga emergency procedure ng THORChain, maaaring mag-isyu ang isang node operator ng make pause command kapag nahaharap ang mga pondo sa isang kritikal na banta. Ang isang pause ay tumatagal ng 720 blocks, o humigit-kumulang isang oras, habang maaaring pahabain ng mga karagdagang node ang paghinto.
Pagkatapos, maaaring bumoto ang mga node operator sa mas target na mga hakbang sa pamamagitan ng Mimir, ang on-chain parameter system ng protocol. Nakalista sa dokumentasyon ng THORChain ang mga trading halt, chain-specific na paghinto at mga kontrol sa pag-sign bilang bahagi ng mga available na emergency action.
Iginigiit ng GoPlus na ang mga kontrol na ito ang nagtatangi sa THORChain mula sa base-layer consensus ng Bitcoin o Ethereum. Gumagamit ang THORChain ng threshold signatures upang pahintulutan ang mga outbound transaction mula sa mga shared vault, na nangangahulugang sama-samang pinamamahalaan ng mga kalahok na node ang proseso ng pag-sign para sa mga cross-chain swap.
Inilalarawan ng THORChain ang parehong mekanismo bilang isang security design na layong ipamahagi ang kontrol sa mga independent node operator sa halip na ilagay ang mga vault key sa iisang entidad.
Ayon sa sariling ulat ng protocol tungkol sa exploit noong Mayo, maaaring ma-activate ang operational Mimir parameters matapos ang tatlong boto ng node. Maaaring baligtarin ng apat na boto ang desisyon, habang maaaring ibalik ito ng panibagong limang boto. Ang mga economic parameter ay nangangailangan ng two-thirds supermajority.
Binanggit ng GoPlus ang mga katangiang ito sa paggiit na may mga mekanismo ang THORChain na kayang pigilan ang mga partikular na daloy kapag naniniwala ang mga operator na nasa panganib ang mga pondo.
Ginamit ng THORChain ang mga kontrol na iyon sa sarili nitong insidente sa seguridad noong Mayo 15.
Isang malicious validator ang nagsamantala sa mga kahinaan sa GG20 Threshold Signature Scheme ng protocol at muling nabuo ang private key para sa isang Asgard vault. Humigit-kumulang $10.7 milyon ang nailabas bago tuluyang napatigil ang network.
Unang natukoy ng automatic solvency monitoring ang mga iregular na balanse sa vault at itinigil ang pag-sign at trading sa ilang chain. Pagkatapos, nagkoordina ang mga node operator sa pamamagitan ng Discord at gumamit ng manual pause at mga boto sa Mimir upang ihinto ang trading, pag-sign, chain observation at validator churning.
Ayon sa opisyal na ulat ng THORChain tungkol sa exploit, humigit-kumulang 18 hanggang 20 node ang nagsalansan ng pause command habang tumutugon sa insidente. Naabot ang isang ganap at kontroladong paghinto sa loob ng humigit-kumulang dalawang oras matapos magbabala ang mga miyembro ng komunidad.
Nananatiling offline ang network sa loob ng humigit-kumulang limang linggo. Nagpatuloy muli ang trading noong Hunyo 23 matapos maipatupad ang patched signing code, mga pagsusuri sa vault at mga procedure sa recovery na inaprubahan ng governance.
Gaya ng iniulat ng crypto.news nang ipagpatuloy ang trading, ibinalik ng THORChain ang swaps, signing, churning at liquidity operations matapos makumpleto ang proseso ng pag-restart nito.
Tinukoy ng GoPlus ang interbensiyong iyon bilang ebidensiya na ang mga operator ng THORChain ay may gumaganang mga kasangkapan upang ihinto ang aktibidad ng network kapag umabot sa antas ng emergency ang mga alalahanin sa seguridad.
Nagsimula ang hindi pagkakasundo tungkol sa mga iligal na transaksyon sa pag-hack sa Bybit noong Pebrero 2025. Pormal na iniugnay ng FBI ang pagnanakaw ng humigit-kumulang $1.5 bilyon na virtual asset mula sa Bybit sa North Korea. Tinukoy ng pampublikong abiso nito ang aktibidad bilang bahagi ng kampanyang TraderTraitor.
Tiyak na hinimok ng ahensya ang mga exchange, bridge, RPC operator, serbisyo ng DeFi at mga kumpanya ng blockchain na harangin ang mga transaksyong may kinalaman sa mga address na konektado sa mga ninakaw na asset.
Malaking bahagi ng ninakaw na Ethereum ay kalaunang na-convert sa Bitcoin sa pamamagitan ng mga cross-chain service. Sinabi ng CEO ng Bybit na si Ben Zhou na humigit-kumulang 72% ng tinatayang $900 milyon na na-convert na asset ay dumaan sa THORChain.
Iniulat ng Crypto.news noong Marso 2025 na na-convert ng mga attacker ang karamihan sa ninakaw na 499,000 ETH sa loob ng sampung araw, kung saan ang THORChain ang humawak ng malaking bahagi ng mga swap.
Sa unang bahagi ng panahong iyon ng laundering, nagtala ang THORChain ng $2.91 bilyon sa trading volume at humigit-kumulang $3 milyon sa kita mula sa fee sa loob ng limang araw, ayon sa on-chain data na binanggit ng crypto.news.
Ang bagong post ng GoPlus ay gumagamit ng mas huling tantiya na humigit-kumulang $5.9 bilyon sa volume at $5.5 milyon sa fees. Ang mga numerong iyon ay kalkulasyon ng security firm at hindi pa nakukumpirma sa mga financial disclosure ng THORChain.
Nagdulot ang insidente sa Bybit ng internal na alitan sa mga contributor at validator ng THORChain. Noong Pebrero 2025, tatlong validator ang bumoto upang ihinto ang Ethereum trading habang dumadaan sa protocol ang mga ninakaw na pondo mula sa Bybit. Kalaunan ay sinabi ng developer na si Oleg Petrov na nabawi ang aksyon sa loob lamang ng ilang minuto.
Kasunod nito, sinabi ng core contributor na si Pluto na titigil na siya sa pag-aambag sa THORChain. Sinabi naman ng validator na si TCB noong panahong iyon na maaari rin siyang umalis maliban kung makabuo ang network ng paraan upang pigilan ang mga daloy na konektado sa North Korea.
Sinusuportahan ng tagapagtatag ng THORChain na si John-Paul Thorbjornsen ang pagpapatuloy ng trading at tutol siya sa pagpapahintulot sa isang third party na walang awtoridad na pabago-bagong mag-update ng protocol-level deny lists.
Sinabi ni Thorbjornsen na susuportahan niya ang mga node na gumagamit ng static deny lists batay sa opisyal na impormasyon mula sa OFAC o FBI kung komportable rito ang mga indibidwal na operator.
Iginigiit ngayon ng GoPlus na ang opisyal na atribusyon ng gobyerno ay nagbibigay ng mas matibay na batayan para sa interbensiyon kaysa sa mga dynamic list na pinamamahalaan ng mga pribadong security company.
Malinaw na hiniling sa abiso ng FBI tungkol sa Bybit noong 2025 sa mga serbisyo ng virtual asset sa pribadong sektor na harangin ang mga transaksyong may kinalaman sa o nagmula sa mga nakalistang TraderTraitor address.
Ibinalik ng GoPlus sa sentro ng usapin ang mga naunang argumento matapos ang paglabag sa Bitget noong Setyembre. Ayon sa kumpanya, humigit-kumulang 101.5 BTC na nagkakahalaga ng nasa $8.5 milyon ang nakalabas na sa THORChain mula sa mga daloy na konektado sa Bitget. Sinabi rin nito na isa pang 27.63 milyong XRP, na tinatayang nagkakahalaga ng halos $43 milyon, ang dumadaan sa mga swap patungong Bitcoin.
Ang mga numerong iyon ay mula sa tracing ng GoPlus at dapat ituring bilang pagsusuri ng security company, hindi bilang mga numerong kinumpirma ng Bitget o THORChain.
Itinaas ng Bitget ang kumpirmadong tantiya nito sa mga asset na nailipat sa mga address na kontrolado ng attacker sa humigit-kumulang $387.5 milyon. Nagsimula na ang exchange na mag-alok ng mga recovery bounty at planong ibalik ang withdrawals nang paunti-unti simula Set. 28. Iniulat ng Crypto.news ang updated na pagkalugi at bounty program noong Set. 26.
Sinabi ng GoPlus na maaaring gamitin ng THORChain ang umiiral nitong emergency framework para sa mga pondong nakatali sa mga address na opisyal na tinukoy ng mga ahensiya tulad ng FBI o OFAC.
Itinatakda ng nakadokumentong emergency procedure ng THORChain ang isang critical event bilang sitwasyong kinahaharap ng mga pondo sa mga pool o vault ang isang pag-atake o ibang banta sa seguridad ng protocol. Inuutusan ng dokumentasyon ang mga node operator na magpasimula ng pause at bumoto sa mga target na emergency action sa ilalim ng mga kondisyong iyon.
Kung dapat bang i-apply ang parehong framework sa mga panlabas na ninakaw na asset na dumadaan sa THORChain ang siyang puntong pinagtatalunan na itinaas ng GoPlus. Inilalarawan ng mga inilathalang procedure ng THORChain ang mga teknikal na emergency sa seguridad ngunit hindi sinasabing ang bawat third-party theft ay awtomatikong nangangailangan ng paghinto ng protocol.
XRP
BTC