GoPlus Security a contesté les affirmations de décentralisation de THORChain, estimant que ses coffres contrôlés par les validateurs et ses mécanismes d’urgence confèrent aux opérateurs de nœuds des pouvoirs différents de ceux observés sur Bitcoin et Ethereum.

GoPlus Security a déclaré le 27 septembre que THORChain ne devrait pas comparer directement son architecture cross-chain à celle des réseaux Layer 1 décentralisés lorsqu’il explique pourquoi les fonds volés ne peuvent pas être bloqués. L’entreprise a mis en avant les coffres à signatures à seuil de THORChain, son ensemble actif de validateurs et ses mécanismes de gouvernance d’urgence.

Ses critiques interviennent dans un contexte de regain d’attention sur les fonds volés acheminés via THORChain après la faille de sécurité chez Bitget. GoPlus affirme qu’environ 101,5 BTC liés à l’incident avaient déjà quitté le protocole, tandis que 27,63 millions de XRP supplémentaires étaient en cours de routage vers Bitcoin.

Bitget n’a pas publiquement confirmé que des acteurs nord-coréens étaient à l’origine de l’attaque de septembre. L’exchange a indiqué que les enquêteurs avaient observé des similitudes préliminaires d’IP et de VPN associées à de précédentes activités liées à la Corée du Nord, mais que l’attribution restait non confirmée, comme l’a rapporté crypto.news après la faille chez Bitget.

Les validateurs de THORChain peuvent interrompre la signature en cas d’urgence

GoPlus fonde une partie de son argumentaire sur des mécanismes documentés par THORChain lui-même. Les procédures d’urgence de THORChain indiquent qu’un opérateur de nœud peut émettre une commande make pause lorsque les fonds font face à une menace critique. Une pause dure 720 blocs, soit environ une heure, tandis que des nœuds supplémentaires peuvent prolonger l’arrêt.

Les opérateurs de nœuds peuvent ensuite voter sur des mesures plus ciblées via Mimir, le système de paramètres on-chain du protocole. La documentation de THORChain répertorie parmi les actions d’urgence disponibles les arrêts de trading, les arrêts spécifiques à certaines chaînes et les contrôles de signature.

GoPlus a soutenu que ces mécanismes distinguent THORChain du consensus de couche de base de Bitcoin ou d’Ethereum. THORChain utilise des signatures à seuil pour autoriser les transactions sortantes depuis des coffres partagés, ce qui signifie que les nœuds participants gèrent collectivement le processus de signature pour les swaps cross-chain.

THORChain présente ce même mécanisme comme une conception de sécurité destinée à répartir le contrôle entre des opérateurs de nœuds indépendants plutôt que de confier les clés des coffres à une seule entité.

Le propre rapport de THORChain sur l’exploit de mai indique que les paramètres opérationnels de Mimir peuvent être activés après trois votes de nœuds. Quatre votes peuvent annuler la décision, tandis que cinq autres peuvent la rétablir. Les paramètres économiques exigent une supermajorité des deux tiers.

GoPlus a cité ces caractéristiques pour soutenir que THORChain dispose de mécanismes capables d’arrêter des flux spécifiques lorsque les opérateurs estiment que les fonds sont en danger.

L’exploit de mai a montré que THORChain pouvait coordonner un arrêt

THORChain a utilisé ces mécanismes lors de son propre incident de sécurité le 15 mai.

Un validateur malveillant a exploité des faiblesses dans le Threshold Signature Scheme GG20 du protocole et a reconstitué la clé privée d’un coffre Asgard. Environ 10,7 millions de dollars ont été drainés avant que le réseau ne soit complètement arrêté.

Le système automatique de surveillance de solvabilité a d’abord détecté des soldes irréguliers dans les coffres et a suspendu la signature et le trading sur plusieurs chaînes. Les opérateurs de nœuds se sont ensuite coordonnés via Discord et ont utilisé des pauses manuelles ainsi que des votes Mimir pour arrêter le trading, la signature, l’observation des chaînes et le churn des validateurs.

Le rapport officiel de THORChain sur l’exploit indique qu’environ 18 à 20 nœuds ont empilé des commandes de pause pendant la réponse à l’incident. Un arrêt complet et contrôlé a été atteint en environ deux heures après que des membres de la communauté ont donné l’alerte.

Le réseau est resté hors ligne pendant environ cinq semaines. Le trading a repris le 23 juin après l’introduction d’un code de signature corrigé, de vérifications des coffres et de procédures de reprise approuvées par la gouvernance.

Comme l’a rapporté crypto.news lorsque le trading a repris, THORChain a rétabli les swaps, la signature, le churn et les opérations de liquidité après avoir achevé son processus de redémarrage.

GoPlus a présenté cette intervention comme une preuve que les opérateurs de THORChain disposent d’outils fonctionnels pour interrompre l’activité du réseau lorsque les préoccupations de sécurité atteignent un seuil d’urgence.

Le différend sur le blanchiment via Bybit reste au cœur du débat

Le désaccord sur les transactions illicites remonte au piratage de Bybit en février 2025. Le FBI a formellement attribué à la Corée du Nord le vol d’environ 1,5 milliard de dollars d’actifs virtuels chez Bybit. Son avis public a identifié cette activité comme faisant partie de la campagne TraderTraitor.

L’agence a spécifiquement encouragé les exchanges, les bridges, les opérateurs RPC, les services DeFi et les entreprises blockchain à bloquer les transactions impliquant des adresses liées aux actifs volés.

Une grande partie de l’Ethereum volé a ensuite été convertie en Bitcoin via des services cross-chain. Le PDG de Bybit, Ben Zhou, a déclaré qu’environ 72 % d’environ 900 millions de dollars d’actifs convertis étaient passés par THORChain.

Crypto.news a rapporté en mars 2025 que les attaquants avaient converti la majeure partie des 499 000 ETH volés en dix jours, THORChain traitant une large part des swaps.

Au début de cette période de blanchiment, THORChain a enregistré 2,91 milliards de dollars de volume de trading et environ 3 millions de dollars de revenus de frais sur cinq jours, selon des données on-chain citées par crypto.news.

La nouvelle publication de GoPlus avance une estimation ultérieure d’environ 5,9 milliards de dollars de volume et 5,5 millions de dollars de frais. Ces chiffres sont le calcul de l’entreprise de sécurité et n’ont pas été confirmés dans les publications financières de THORChain.

Un précédent vote de THORChain visant à bloquer les flux a été annulé

L’épisode Bybit a provoqué un différend interne parmi les contributeurs et validateurs de THORChain. En février 2025, trois validateurs ont voté pour arrêter le trading d’Ethereum alors que des fonds volés à Bybit transitaient par le protocole. Le développeur Oleg Petrov a déclaré par la suite que cette action avait été annulée en quelques minutes.

Le contributeur principal Pluto a ensuite indiqué qu’il cesserait de contribuer à THORChain. Le validateur TCB a déclaré à l’époque qu’il pourrait également partir à moins que le réseau ne développe un moyen de stopper les flux liés à la Corée du Nord.

Le fondateur de THORChain, John-Paul Thorbjornsen, s’est prononcé en faveur de la poursuite du trading et s’est opposé à l’idée d’autoriser un tiers non habilité à mettre à jour dynamiquement des listes de refus au niveau du protocole.

Thorbjornsen a déclaré qu’il soutiendrait des nœuds utilisant des listes de refus statiques fondées sur des informations officielles de l’OFAC ou du FBI si les opérateurs individuels s’en estimaient capables.

GoPlus soutient désormais que l’attribution officielle par les autorités fournit une base plus solide pour une intervention que des listes dynamiques maintenues par des entreprises privées de sécurité.

L’avis du FBI sur Bybit en 2025 demandait explicitement aux services privés d’actifs virtuels de bloquer les transactions impliquant, ou dérivées de, les adresses TraderTraitor listées.

Les flux liés à Bitget ravivent le débat sur la décentralisation

GoPlus a remis les précédents arguments au centre de l’attention après la faille de sécurité de septembre chez Bitget. L’entreprise affirme qu’environ 101,5 BTC, d’une valeur d’environ 8,5 millions de dollars, ont déjà quitté THORChain à partir de flux liés à Bitget. Elle indique qu’un autre lot de 27,63 millions de XRP, valorisé à près de 43 millions de dollars, transitait via des swaps en direction de Bitcoin.

Ces chiffres proviennent du traçage effectué par GoPlus et doivent être considérés comme l’analyse de l’entreprise de sécurité plutôt que comme des données confirmées par Bitget ou THORChain.

Bitget a relevé son estimation confirmée des actifs transférés vers des adresses contrôlées par l’attaquant à environ 387,5 millions de dollars. L’exchange a commencé à proposer des primes de récupération et prévoit de rétablir les retraits par étapes à partir du 28 septembre. Crypto.news a rapporté le 26 septembre la mise à jour des pertes et du programme de primes.

GoPlus a déclaré que THORChain pourrait utiliser son cadre d’urgence existant pour des fonds liés à des adresses officiellement identifiées par des agences telles que le FBI ou l’OFAC.

Les procédures d’urgence documentées de THORChain définissent un événement critique comme une situation dans laquelle les fonds des pools ou des coffres font face à une attaque ou à une autre menace pour la sécurité du protocole. La documentation indique aux opérateurs de nœuds d’initier des pauses et de voter sur des actions d’urgence ciblées dans de telles conditions.

La question de savoir si ce même cadre devrait s’appliquer à des actifs volés à l’extérieur transitant par THORChain constitue le point de désaccord soulevé par GoPlus. Les procédures publiées par THORChain décrivent des urgences de sécurité techniques, mais n’indiquent pas que chaque vol commis par un tiers exige automatiquement un arrêt du protocole.