GoPlus Security telah menantang klaim desentralisasi THORChain, dengan berargumen bahwa vault yang dikendalikan validator serta mekanisme daruratnya memberi operator node kekuasaan yang berbeda dari Bitcoin dan Ethereum.
GoPlus Security mengatakan pada 27 September bahwa THORChain seharusnya tidak membandingkan arsitektur cross-chain miliknya secara langsung dengan jaringan Layer 1 yang terdesentralisasi saat menjelaskan mengapa dana curian tidak dapat diblokir. Perusahaan itu menyoroti vault threshold-signature THORChain, set validator aktif, dan kontrol tata kelola darurat.
Kritik ini muncul setelah pengawasan kembali menguat terhadap dana curian yang dialirkan melalui THORChain setelah pembobolan Bitget. GoPlus mengklaim sekitar 101,5 BTC yang terkait dengan insiden itu telah keluar melalui protokol tersebut, sementara 27,63 juta XRP lainnya sedang diarahkan menuju Bitcoin.
Bitget belum mengonfirmasi secara publik bahwa aktor Korea Utara melakukan serangan pada September tersebut. Bursa itu mengatakan para penyelidik melihat kemiripan awal pada IP dan VPN yang terkait dengan aktivitas sebelumnya yang dikaitkan dengan Korea Utara, namun atribusi masih belum terkonfirmasi, sebagaimana dilaporkan crypto.news setelah pembobolan Bitget.
GoPlus mendasarkan sebagian argumennya pada kontrol yang didokumentasikan oleh THORChain sendiri. Prosedur darurat THORChain menyatakan bahwa operator node dapat mengeluarkan perintah make pause ketika dana menghadapi ancaman kritis. Satu jeda berlangsung selama 720 blok, atau sekitar satu jam, sementara node tambahan dapat memperpanjang penghentian tersebut.
Operator node kemudian dapat memberikan suara atas langkah yang lebih terarah melalui Mimir, sistem parameter on-chain milik protokol. Dokumentasi THORChain mencantumkan penghentian trading, penghentian khusus chain, dan kontrol penandatanganan di antara tindakan darurat yang tersedia.
GoPlus berargumen bahwa kontrol ini membedakan THORChain dari konsensus lapisan dasar Bitcoin atau Ethereum. THORChain menggunakan threshold signature untuk mengotorisasi transaksi keluar dari vault bersama, yang berarti node yang berpartisipasi secara kolektif mengelola proses penandatanganan untuk swap cross-chain.
THORChain menggambarkan mekanisme yang sama sebagai desain keamanan yang dimaksudkan untuk mendistribusikan kontrol di antara operator node independen, alih-alih menempatkan kunci vault pada satu entitas.
Laporan exploit protokol itu sendiri pada Mei menyebutkan bahwa parameter Mimir operasional dapat diaktifkan setelah tiga suara node. Empat suara dapat membatalkan keputusan tersebut, sementara lima suara lainnya dapat memberlakukannya kembali. Parameter ekonomi memerlukan supermayoritas dua pertiga.
GoPlus mengutip fitur-fitur tersebut ketika berargumen bahwa THORChain memiliki mekanisme yang mampu menghentikan aliran tertentu ketika operator meyakini dana sedang berisiko.
THORChain menggunakan kontrol tersebut selama insiden keamanannya sendiri pada 15 Mei.
Seorang validator jahat mengeksploitasi kelemahan dalam GG20 Threshold Signature Scheme milik protokol dan merekonstruksi private key untuk satu vault Asgard. Sekitar $10,7 juta terkuras sebelum jaringan sepenuhnya dihentikan.
Pemantauan solvabilitas otomatis pertama kali mendeteksi saldo vault yang tidak wajar dan menghentikan penandatanganan serta trading di beberapa chain. Operator node kemudian berkoordinasi melalui Discord dan menggunakan jeda manual serta voting Mimir untuk menghentikan trading, penandatanganan, observasi chain, dan validator churning.
Laporan exploit resmi THORChain menyebutkan sekitar 18 hingga 20 node menumpuk perintah pause selama respons berlangsung. Penghentian terkendali yang lengkap tercapai dalam sekitar dua jam setelah anggota komunitas membunyikan alarm.
Jaringan tetap offline selama sekitar lima minggu. Trading kembali dilanjutkan pada 23 Juni setelah kode penandatanganan yang telah ditambal, pemeriksaan vault, dan prosedur pemulihan yang disetujui tata kelola diperkenalkan.
Seperti dilaporkan crypto.news saat trading kembali dimulai, THORChain memulihkan swap, penandatanganan, churning, dan operasi likuiditas setelah menyelesaikan proses restart-nya.
GoPlus menyebut intervensi tersebut sebagai bukti bahwa operator THORChain memiliki alat yang berfungsi untuk menghentikan aktivitas jaringan ketika kekhawatiran keamanan mencapai ambang darurat.
Perselisihan mengenai transaksi ilegal ini berawal dari peretasan Bybit pada Februari 2025. FBI secara resmi mengaitkan pencurian sekitar $1,5 miliar aset virtual dari Bybit dengan Korea Utara. Pemberitahuan publiknya mengidentifikasi aktivitas tersebut sebagai bagian dari kampanye TraderTraitor.
Lembaga itu secara khusus mendorong bursa, bridge, operator RPC, layanan DeFi, dan perusahaan blockchain untuk memblokir transaksi yang melibatkan alamat yang terhubung dengan aset curian tersebut.
Sebagian besar Ethereum yang dicuri kemudian dikonversi menjadi Bitcoin melalui layanan cross-chain. CEO Bybit Ben Zhou mengatakan sekitar 72% dari sekitar $900 juta aset yang telah dikonversi telah melewati THORChain.
Crypto.news melaporkan pada Maret 2025 bahwa para penyerang mengonversi sebagian besar dari 499.000 ETH yang dicuri dalam waktu sepuluh hari, dengan THORChain menangani porsi besar dari swap tersebut.
Pada awal periode pencucian itu, THORChain mencatat volume trading sebesar $2,91 miliar dan sekitar $3 juta pendapatan biaya dalam lima hari, menurut data on-chain yang dikutip crypto.news.
Postingan baru GoPlus menggunakan estimasi yang lebih belakangan, yaitu sekitar $5,9 miliar volume dan $5,5 juta biaya. Angka-angka tersebut merupakan perhitungan perusahaan keamanan itu dan belum dikonfirmasi dalam pengungkapan keuangan THORChain.
Episode Bybit memicu perselisihan internal di antara kontributor dan validator THORChain. Pada Februari 2025, tiga validator memberikan suara untuk menghentikan trading Ethereum saat dana curian Bybit bergerak melalui protokol tersebut. Pengembang Oleg Petrov kemudian mengatakan tindakan itu dibatalkan dalam hitungan menit.
Kontributor inti Pluto kemudian mengatakan bahwa ia akan berhenti berkontribusi pada THORChain. Validator TCB mengatakan saat itu bahwa ia juga bisa pergi kecuali jaringan mengembangkan cara untuk menghentikan aliran yang terkait dengan Korea Utara.
Pendiri THORChain John-Paul Thorbjornsen mendukung kelanjutan trading dan menentang pemberian izin kepada pihak ketiga non-otoritas untuk memperbarui deny list tingkat protokol secara dinamis.
Thorbjornsen mengatakan ia akan mendukung node yang menggunakan deny list statis berdasarkan informasi resmi OFAC atau FBI jika masing-masing operator merasa nyaman melakukannya.
GoPlus kini berargumen bahwa atribusi resmi pemerintah memberikan dasar yang lebih kuat untuk intervensi dibandingkan daftar dinamis yang dikelola oleh perusahaan keamanan swasta.
Pemberitahuan FBI terkait Bybit pada 2025 secara eksplisit meminta layanan aset virtual sektor swasta untuk memblokir transaksi yang melibatkan atau berasal dari alamat TraderTraitor yang tercantum.
GoPlus kembali menyoroti argumen sebelumnya setelah pembobolan Bitget pada September. Perusahaan itu mengklaim sekitar 101,5 BTC senilai sekitar $8,5 juta telah keluar melalui THORChain dari aliran yang terkait dengan Bitget. GoPlus mengatakan 27,63 juta XRP lainnya, bernilai sekitar $43 juta, sedang bergerak melalui swap menuju Bitcoin.
Angka-angka tersebut berasal dari pelacakan GoPlus dan harus diperlakukan sebagai analisis perusahaan keamanan itu, bukan angka yang dikonfirmasi oleh Bitget atau THORChain.
Bitget telah menaikkan estimasi terkonfirmasi atas aset yang dipindahkan ke alamat yang dikendalikan penyerang menjadi sekitar $387,5 juta. Bursa itu telah mulai menawarkan bounty pemulihan dan berencana memulihkan penarikan secara bertahap mulai 28 September. Crypto.news melaporkan pembaruan kerugian dan program bounty tersebut pada 26 September.
GoPlus mengatakan THORChain dapat menggunakan kerangka darurat yang sudah ada untuk dana yang terikat pada alamat yang secara resmi diidentifikasi oleh lembaga seperti FBI atau OFAC.
Prosedur darurat THORChain yang terdokumentasi mendefinisikan peristiwa kritis sebagai situasi ketika dana di dalam pool atau vault menghadapi serangan atau ancaman lain terhadap keamanan protokol. Dokumentasi tersebut mengarahkan operator node untuk memulai pause dan memberikan suara atas tindakan darurat yang terarah dalam kondisi seperti itu.
Apakah kerangka yang sama seharusnya diterapkan pada aset curian dari luar yang bergerak melalui THORChain merupakan pokok sengketa yang diangkat GoPlus. Prosedur yang dipublikasikan THORChain menggambarkan keadaan darurat keamanan teknis, tetapi tidak menyatakan bahwa setiap pencurian pihak ketiga secara otomatis mengharuskan penghentian protokol.
XRP
BTC