A GoPlus Security contestou as alegações de descentralização da THORChain, argumentando que seus cofres controlados por validadores e seus mecanismos de emergência concedem aos operadores de nós poderes diferentes dos do Bitcoin e do Ethereum.

A GoPlus Security disse em 27 de setembro que a THORChain não deveria comparar diretamente sua arquitetura cross-chain com redes Layer 1 descentralizadas ao explicar por que fundos roubados não podem ser bloqueados. A empresa apontou para os cofres com assinatura de limiar da THORChain, seu conjunto ativo de validadores e seus controles de governança de emergência.

Sua crítica ocorre em meio a um novo escrutínio sobre fundos roubados roteados pela THORChain após a violação da Bitget. A GoPlus afirma que cerca de 101,5 BTC ligados ao incidente já haviam saído pelo protocolo, enquanto outros 27,63 milhões de XRP estavam sendo roteados em direção ao Bitcoin.

A Bitget não confirmou publicamente que atores norte-coreanos realizaram seu ataque de setembro. A exchange disse que investigadores identificaram semelhanças preliminares de IP e VPN associadas a atividades anteriores ligadas à Coreia do Norte, mas a atribuição permaneceu sem confirmação, como a crypto.news relatou após a violação da Bitget.

Validadores da THORChain podem interromper assinaturas durante emergências

A GoPlus baseou parte de seu argumento em controles documentados pela própria THORChain. Os procedimentos de emergência da THORChain afirmam que um operador de nó pode emitir um comando make pause quando os fundos enfrentam uma ameaça crítica. Uma pausa dura 720 blocos, ou aproximadamente uma hora, enquanto nós adicionais podem estender a interrupção.

Os operadores de nós podem então votar em medidas mais direcionadas por meio do Mimir, o sistema de parâmetros on-chain do protocolo. A documentação da THORChain lista interrupções de trading, paradas específicas por chain e controles de assinatura entre as ações de emergência disponíveis.

A GoPlus argumentou que esses controles diferenciam a THORChain do consenso da camada base do Bitcoin ou do Ethereum. A THORChain usa assinaturas de limiar para autorizar transações de saída a partir de cofres compartilhados, o que significa que os nós participantes gerenciam coletivamente o processo de assinatura para swaps cross-chain.

A THORChain descreve o mesmo mecanismo como um design de segurança destinado a distribuir o controle entre operadores de nós independentes, em vez de colocar as chaves dos cofres sob uma única entidade.

O próprio relatório da THORChain sobre o exploit de maio diz que parâmetros operacionais do Mimir podem ser ativados após três votos de nós. Quatro votos podem reverter a decisão, enquanto outros cinco podem restabelecê-la. Parâmetros econômicos exigem uma supermaioria de dois terços.

A GoPlus citou esses recursos ao argumentar que a THORChain possui mecanismos capazes de interromper fluxos específicos quando os operadores acreditam que os fundos estão em risco.

Exploit de maio mostrou que a THORChain pode coordenar uma paralisação

A THORChain usou esses controles durante seu próprio incidente de segurança em 15 de maio.

Um validador malicioso explorou fragilidades no Threshold Signature Scheme GG20 do protocolo e reconstruiu a chave privada de um cofre Asgard. Aproximadamente US$ 10,7 milhões foram drenados antes que a rede fosse totalmente interrompida.

O monitoramento automático de solvência detectou primeiro saldos irregulares nos cofres e interrompeu a assinatura e o trading em várias chains. Em seguida, operadores de nós coordenaram-se pelo Discord e usaram pausas manuais e votos Mimir para interromper trading, assinatura, observação de chains e churn de validadores.

O relatório oficial da THORChain sobre o exploit diz que cerca de 18 a 20 nós acumularam comandos de pausa durante a resposta. Uma paralisação completa e controlada foi alcançada em cerca de duas horas após membros da comunidade soarem o alerta.

A rede permaneceu offline por cerca de cinco semanas. O trading foi retomado em 23 de junho após a introdução de código de assinatura corrigido, verificações dos cofres e procedimentos de recuperação aprovados pela governança.

Como a crypto.news relatou quando o trading foi retomado, a THORChain restaurou swaps, assinatura, churn e operações de liquidez após concluir seu processo de reinicialização.

A GoPlus se referiu a essa intervenção como evidência de que os operadores da THORChain possuem ferramentas funcionais para interromper a atividade da rede quando preocupações de segurança atingem um limiar de emergência.

A disputa sobre a lavagem da Bybit continua central para o argumento

A discordância sobre transações ilícitas remonta ao hack da Bybit em fevereiro de 2025. O FBI atribuiu formalmente o roubo de aproximadamente US$ 1,5 bilhão em ativos virtuais da Bybit à Coreia do Norte. Seu aviso público identificou a atividade como parte da campanha TraderTraitor.

A agência incentivou especificamente exchanges, bridges, operadores de RPC, serviços DeFi e empresas de blockchain a bloquear transações envolvendo endereços conectados aos ativos roubados.

Grande parte do Ethereum roubado foi posteriormente convertido em Bitcoin por meio de serviços cross-chain. O CEO da Bybit, Ben Zhou, disse que cerca de 72% de aproximadamente US$ 900 milhões em ativos convertidos passaram pela THORChain.

A crypto.news informou em março de 2025 que os atacantes converteram a maior parte dos 499.000 ETH roubados em dez dias, com a THORChain processando uma grande parcela dos swaps.

No início desse período de lavagem, a THORChain registrou US$ 2,91 bilhões em volume de trading e cerca de US$ 3 milhões em receita de taxas ao longo de cinco dias, segundo dados on-chain citados pela crypto.news.

O novo post da GoPlus usa uma estimativa posterior de cerca de US$ 5,9 bilhões em volume e US$ 5,5 milhões em taxas. Esses números são um cálculo da empresa de segurança e não foram confirmados nas divulgações financeiras da THORChain.

Votação anterior da THORChain para bloquear fluxos foi revertida

O episódio da Bybit gerou uma disputa interna entre contribuidores e validadores da THORChain. Em fevereiro de 2025, três validadores votaram para interromper o trading de Ethereum enquanto fundos roubados da Bybit passavam pelo protocolo. O desenvolvedor Oleg Petrov disse depois que a ação foi revertida em poucos minutos.

O contribuidor central Pluto afirmou posteriormente que deixaria de contribuir com a THORChain. O validador TCB disse na época que também poderia sair, a menos que a rede desenvolvesse uma forma de interromper fluxos ligados à Coreia do Norte.

O fundador da THORChain, John-Paul Thorbjornsen, apoiou a continuidade do trading e se opôs a permitir que um terceiro sem autoridade atualizasse dinamicamente listas de bloqueio no nível do protocolo.

Thorbjornsen disse que apoiaria nós usando listas de bloqueio estáticas com base em informações oficiais da OFAC ou do FBI, caso operadores individuais se sentissem confortáveis em fazê-lo.

A GoPlus agora argumenta que a atribuição oficial do governo fornece uma base mais forte para intervenção do que listas dinâmicas mantidas por empresas privadas de segurança.

O aviso do FBI sobre a Bybit em 2025 pediu explicitamente a serviços de ativos virtuais do setor privado que bloqueassem transações envolvendo ou derivadas dos endereços TraderTraitor listados.

Fluxos da Bitget renovam a disputa sobre descentralização

A GoPlus trouxe os argumentos anteriores de volta ao foco após a violação da Bitget em setembro. A empresa afirma que aproximadamente 101,5 BTC, no valor de cerca de US$ 8,5 milhões, já saíram pela THORChain a partir de fluxos ligados à Bitget. Ela disse que outros 27,63 milhões de XRP, avaliados em cerca de US$ 43 milhões, estavam se movendo por meio de swaps em direção ao Bitcoin.

Esses números vêm do rastreamento da GoPlus e devem ser tratados como análise da empresa de segurança, e não como números confirmados pela Bitget ou pela THORChain.

A Bitget elevou sua estimativa confirmada de ativos transferidos para endereços controlados por atacantes para aproximadamente US$ 387,5 milhões. A exchange começou a oferecer recompensas por recuperação e planeja restaurar saques em etapas a partir de 28 de setembro. A crypto.news relatou a perda atualizada e o programa de recompensas em 26 de setembro.

A GoPlus disse que a THORChain poderia usar sua estrutura de emergência existente para fundos ligados a endereços oficialmente identificados por agências como o FBI ou a OFAC.

Os procedimentos de emergência documentados da THORChain definem um evento crítico como aquele em que fundos em pools ou cofres enfrentam um ataque ou outra ameaça à segurança do protocolo. A documentação instrui operadores de nós a iniciar pausas e votar em ações de emergência direcionadas nessas condições.

Se a mesma estrutura deve ser aplicada a ativos roubados externamente que estejam se movendo pela THORChain é o ponto de disputa levantado pela GoPlus. Os procedimentos publicados da THORChain descrevem emergências técnicas de segurança, mas não afirmam que todo roubo de terceiros exija automaticamente uma paralisação do protocolo.