GoPlus Security ने THORChain के विकेंद्रीकरण दावों को चुनौती दी है। उसका तर्क है कि इसके validator-नियंत्रित vaults और emergency mechanisms node operators को ऐसी शक्तियां देते हैं, जो Bitcoin और Ethereum से अलग हैं।

GoPlus Security ने 27 सितंबर को कहा कि चोरी किए गए फंड को ब्लॉक न किए जा सकने की वजह समझाते समय THORChain को अपनी cross-chain architecture की सीधे decentralized Layer 1 networks से तुलना नहीं करनी चाहिए। फर्म ने THORChain के threshold-signature vaults, active validator set और emergency governance controls की ओर इशारा किया।

यह आलोचना Bitget breach के बाद THORChain के जरिए भेजे गए चोरी के फंड पर फिर से बढ़ी जांच के बीच आई है। GoPlus का दावा है कि इस घटना से जुड़े लगभग 101.5 BTC पहले ही protocol के जरिए बाहर जा चुके थे, जबकि अन्य 27.63 मिलियन XRP को Bitcoin की ओर route किया जा रहा था।

Bitget ने सार्वजनिक रूप से यह पुष्टि नहीं की है कि सितंबर का हमला North Korean actors ने किया था। एक्सचेंज ने कहा कि जांचकर्ताओं ने पहले North Korea-linked activity से जुड़ी IP और VPN समानताओं के शुरुआती संकेत देखे हैं, लेकिन attribution की पुष्टि नहीं हुई है, जैसा कि Bitget breach के बाद crypto.news ने रिपोर्ट किया था।

THORChain validators आपातकाल में signing रोक सकते हैं

GoPlus ने अपने तर्क का एक हिस्सा THORChain द्वारा स्वयं दस्तावेजीकृत controls पर आधारित किया। THORChain की emergency procedures के अनुसार, जब फंड किसी गंभीर खतरे का सामना करें तो एक node operator make pause command जारी कर सकता है। एक pause 720 blocks, यानी लगभग एक घंटे तक रहता है, जबकि अतिरिक्त nodes इस halt को बढ़ा सकते हैं।

इसके बाद node operators, protocol के on-chain parameter system Mimir के जरिए अधिक targeted उपायों पर वोट कर सकते हैं। THORChain के दस्तावेजों में उपलब्ध emergency actions में trading halt, chain-specific stop और signing controls शामिल हैं।

GoPlus का तर्क है कि ये controls THORChain को Bitcoin या Ethereum के base-layer consensus से अलग बनाते हैं। THORChain shared vaults से outbound transactions को authorize करने के लिए threshold signatures का उपयोग करता है, यानी cross-chain swaps के लिए signing process को भाग लेने वाले nodes सामूहिक रूप से प्रबंधित करते हैं।

THORChain इसी mechanism को एक security design के रूप में वर्णित करता है, जिसका उद्देश्य vault keys को एक इकाई के पास रखने के बजाय control को independent node operators में वितरित करना है।

Protocol की मई exploit report के अनुसार, operational Mimir parameters तीन node votes के बाद सक्रिय किए जा सकते हैं। चार votes इस निर्णय को पलट सकते हैं, जबकि पांच और votes इसे फिर से बहाल कर सकते हैं। Economic parameters के लिए two-thirds supermajority की आवश्यकता होती है।

GoPlus ने इन features का हवाला देते हुए कहा कि THORChain के पास ऐसे mechanisms हैं जो specific flows को रोक सकते हैं, जब operators को लगे कि फंड जोखिम में हैं।

मई exploit ने दिखाया कि THORChain coordinated halt कर सकता है

THORChain ने 15 मई को अपनी ही security incident के दौरान इन्हीं controls का उपयोग किया था।

एक malicious validator ने protocol की GG20 Threshold Signature Scheme की कमजोरियों का फायदा उठाया और एक Asgard vault की private key को पुनर्निर्मित कर लिया। नेटवर्क पूरी तरह रुकने से पहले लगभग $10.7 मिलियन निकाल लिए गए।

Automatic solvency monitoring ने सबसे पहले vault balances में अनियमितता का पता लगाया और कई chains पर signing तथा trading रोक दी। इसके बाद node operators ने Discord के जरिए coordination किया और manual pauses तथा Mimir votes का उपयोग कर trading, signing, chain observation और validator churning रोक दी।

THORChain की आधिकारिक exploit report के अनुसार, response के दौरान लगभग 18 से 20 nodes ने pause commands को stack किया। समुदाय के सदस्यों द्वारा अलार्म उठाए जाने के करीब दो घंटे के भीतर पूर्ण controlled halt हासिल कर लिया गया।

नेटवर्क लगभग पांच सप्ताह तक offline रहा। Patched signing code, vault checks और governance-approved recovery procedures लागू किए जाने के बाद 23 जून को trading फिर से शुरू हुई।

जैसा कि trading resumed होने पर crypto.news ने रिपोर्ट किया था, THORChain ने अपनी restart process पूरी करने के बाद swaps, signing, churning और liquidity operations बहाल कर दिए।

GoPlus ने इस intervention को इस बात के प्रमाण के रूप में पेश किया कि THORChain operators के पास network activity रोकने के काम करने वाले tools मौजूद हैं, जब security concerns emergency threshold तक पहुंच जाते हैं।

Bybit laundering विवाद इस तर्क के केंद्र में बना हुआ है

अवैध transactions को लेकर असहमति की शुरुआत फरवरी 2025 के Bybit hack से होती है। FBI ने औपचारिक रूप से Bybit से लगभग $1.5 बिलियन के virtual assets की चोरी के लिए North Korea को जिम्मेदार ठहराया। उसके public notice ने इस activity को TraderTraitor campaign का हिस्सा बताया।

एजेंसी ने विशेष रूप से exchanges, bridges, RPC operators, DeFi services और blockchain कंपनियों से चोरी किए गए assets से जुड़े addresses वाले transactions को block करने का आग्रह किया।

बाद में चोरी किए गए Ethereum का बड़ा हिस्सा cross-chain services के जरिए Bitcoin में convert किया गया। Bybit के CEO Ben Zhou ने कहा कि converted assets में से लगभग $900 मिलियन का करीब 72% THORChain से होकर गुजरा था।

Crypto.news ने मार्च 2025 में रिपोर्ट किया था कि हमलावरों ने चोरी किए गए 499,000 ETH का अधिकांश हिस्सा दस दिनों के भीतर convert कर लिया था, और swaps का बड़ा हिस्सा THORChain ने संभाला था।

Crypto.news द्वारा उद्धृत on-chain data के अनुसार, laundering की उस शुरुआती अवधि में THORChain ने पांच दिनों में $2.91 बिलियन का trading volume और लगभग $3 मिलियन की fee revenue दर्ज की।

GoPlus की नई पोस्ट में बाद का अनुमान इस्तेमाल किया गया है, जिसमें volume लगभग $5.9 बिलियन और fees लगभग $5.5 मिलियन बताई गई हैं। ये आंकड़े security firm की गणना हैं और THORChain की financial disclosures में पुष्टि नहीं किए गए हैं।

Flows को block करने के लिए पहले हुआ THORChain vote बाद में पलट दिया गया

Bybit प्रकरण ने THORChain contributors और validators के बीच आंतरिक विवाद पैदा किया। फरवरी 2025 में तीन validators ने Ethereum trading रोकने के पक्ष में वोट दिया था, जब चोरी किए गए Bybit funds protocol के जरिए गुजर रहे थे। Developer Oleg Petrov ने बाद में कहा कि इस कार्रवाई को कुछ ही मिनटों में पलट दिया गया।

इसके बाद core contributor Pluto ने कहा कि वह THORChain में योगदान देना बंद कर देंगे। Validator TCB ने उस समय कहा था कि यदि नेटवर्क North Korea-linked flows को रोकने का तरीका विकसित नहीं करता, तो वह भी छोड़ सकते हैं।

THORChain के founder John-Paul Thorbjornsen ने trading जारी रखने का समर्थन किया और किसी गैर-प्राधिकृत third party को protocol-level deny lists को dynamically update करने की अनुमति देने का विरोध किया।

Thorbjornsen ने कहा कि यदि individual operators इसके साथ सहज हों, तो वह official OFAC या FBI जानकारी पर आधारित static deny lists का उपयोग करने वाले nodes का समर्थन करेंगे।

अब GoPlus का तर्क है कि निजी security कंपनियों द्वारा बनाए गए dynamic lists की तुलना में आधिकारिक सरकारी attribution intervention के लिए अधिक मजबूत आधार प्रदान करता है।

FBI की 2025 Bybit notice में private-sector virtual asset services से स्पष्ट रूप से कहा गया था कि वे listed TraderTraitor addresses से जुड़े या उनसे निकले transactions को block करें।

Bitget flows ने विकेंद्रीकरण विवाद को फिर से जिंदा कर दिया

सितंबर के Bitget breach के बाद GoPlus ने पुराने तर्कों को फिर से केंद्र में ला दिया। फर्म का दावा है कि Bitget-linked flows से जुड़े लगभग 101.5 BTC, जिनकी कीमत करीब $8.5 मिलियन है, पहले ही THORChain के जरिए बाहर जा चुके हैं। उसका कहना है कि अन्य 27.63 मिलियन XRP, जिनका मूल्य लगभग $43 मिलियन है, swaps के जरिए Bitcoin की ओर बढ़ रहे थे।

ये आंकड़े GoPlus की tracing से आए हैं और इन्हें Bitget या THORChain द्वारा पुष्टि किए गए आंकड़ों के बजाय security company के analysis के रूप में देखा जाना चाहिए।

Bitget ने attacker-controlled addresses में transfer किए गए assets के अपने confirmed estimate को बढ़ाकर लगभग $387.5 मिलियन कर दिया है। एक्सचेंज ने recovery bounties की पेशकश शुरू कर दी है और 28 सितंबर से चरणबद्ध तरीके से withdrawals बहाल करने की योजना बनाई है। Crypto.news ने 26 सितंबर को updated loss और bounty program की रिपोर्ट दी थी।

GoPlus ने कहा कि THORChain FBI या OFAC जैसी एजेंसियों द्वारा आधिकारिक रूप से पहचाने गए addresses से जुड़े funds के लिए अपने मौजूदा emergency framework का उपयोग कर सकता है।

THORChain की documented emergency procedures एक critical event को ऐसी स्थिति के रूप में परिभाषित करती हैं, जिसमें pools या vaults में मौजूद funds किसी attack या protocol security के किसी अन्य खतरे का सामना करें। दस्तावेज node operators को ऐसी परिस्थितियों में pause शुरू करने और targeted emergency actions पर वोट करने का निर्देश देते हैं।

क्या यही framework THORChain के जरिए गुजर रहे बाहरी तौर पर चोरी किए गए assets पर भी लागू होना चाहिए, यही GoPlus द्वारा उठाया गया विवाद का मुख्य बिंदु है। THORChain की published procedures technical security emergencies का वर्णन करती हैं, लेकिन यह नहीं कहतीं कि हर third-party theft अपने-आप protocol halt की मांग करती है।