GoPlus Security поставила під сумнів заяви THORChain про децентралізацію, стверджуючи, що контрольовані валідаторами сховища та механізми надзвичайного реагування надають операторам вузлів повноваження, відмінні від тих, що існують у Bitcoin та Ethereum.
27 вересня GoPlus Security заявила, що THORChain не слід напряму порівнювати свою кросчейн-архітектуру з децентралізованими мережами рівня Layer 1, коли вона пояснює, чому вкрадені кошти не можуть бути заблоковані. Компанія вказала на сховища THORChain із пороговим підписом, активний набір валідаторів і механізми аварійного управління.
Її критика пролунала на тлі нового витка уваги до вкрадених коштів, які були спрямовані через THORChain після злому Bitget. GoPlus стверджує, що близько 101,5 BTC, пов’язаних із цим інцидентом, уже були виведені через протокол, тоді як ще 27,63 млн XRP спрямовувалися в бік Bitcoin.
Bitget публічно не підтвердила, що вересневу атаку здійснили північнокорейські актори. Біржа заявила, що слідчі виявили попередні збіги IP-адрес і VPN із попередньою активністю, пов’язаною з Північною Кореєю, однак атрибуція лишається непідтвердженою, як повідомляв crypto.news після злому Bitget.
GoPlus частково ґрунтувала свої аргументи на механізмах контролю, задокументованих самою THORChain. У процедурах аварійного реагування THORChain зазначено, що оператор вузла може подати команду make pause, коли коштам загрожує критична небезпека. Одна така пауза триває 720 блоків, або приблизно одну годину, тоді як додаткові вузли можуть продовжити зупинку.
Після цього оператори вузлів можуть голосувати за більш цільові заходи через Mimir — ончейн-систему параметрів протоколу. У документації THORChain серед доступних аварійних дій зазначені зупинка торгівлі, зупинки для окремих блокчейнів і контроль підписання.
GoPlus стверджує, що ці механізми відрізняють THORChain від консенсусу базового рівня Bitcoin або Ethereum. THORChain використовує порогові підписи для авторизації вихідних транзакцій зі спільних сховищ, тобто вузли-учасники колективно керують процесом підписання для кросчейн-свопів.
THORChain описує цей самий механізм як елемент безпекового дизайну, покликаний розподіляти контроль між незалежними операторами вузлів, а не зосереджувати ключі від сховищ в одних руках.
У власному звіті протоколу про травневий експлойт зазначено, що операційні параметри Mimir можуть бути активовані після трьох голосів вузлів. Чотири голоси можуть скасувати це рішення, а ще п’ять — знову його поновити. Для економічних параметрів потрібна надбільшість у дві третини голосів.
GoPlus послалася на ці особливості, стверджуючи, що THORChain має механізми, здатні зупиняти конкретні потоки коштів, коли оператори вважають, що активи перебувають під загрозою.
THORChain використала ці механізми під час власного інциденту безпеки 15 травня.
Зловмисний валідатор скористався слабкими місцями в протокольній схемі порогового підпису GG20 і відновив приватний ключ одного зі сховищ Asgard. До повної зупинки мережі було виведено приблизно $10,7 млн.
Автоматичний моніторинг платоспроможності спершу виявив аномальні баланси сховищ і зупинив підписання та торгівлю в кількох мережах. Потім оператори вузлів скоординувалися через Discord і використали ручні паузи та голосування Mimir, щоб зупинити торгівлю, підписання, спостереження за мережами та churn валідаторів.
В офіційному звіті THORChain про експлойт сказано, що під час реагування приблизно 18–20 вузлів нашарували команди паузи. Повної контрольованої зупинки вдалося досягти приблизно за дві години після того, як учасники спільноти підняли тривогу.
Мережа залишалася офлайн приблизно п’ять тижнів. Торгівлю було відновлено 23 червня після впровадження виправленого коду підписання, перевірок сховищ і затверджених механізмів відновлення.
Як повідомляв crypto.news, коли торгівлю було відновлено, THORChain повернула свопи, підписання, churn і операції з ліквідністю після завершення процесу перезапуску.
GoPlus назвала це втручання доказом того, що оператори THORChain мають дієві інструменти для зупинки активності мережі, коли загрози безпеці досягають аварійного порога.
Розбіжності щодо незаконних транзакцій беруть початок із лютневого злому Bybit у 2025 році. ФБР офіційно пов’язало крадіжку приблизно $1,5 млрд у віртуальних активах з Bybit із Північною Кореєю. У публічному повідомленні агентства цю активність було визначено як частину кампанії TraderTraitor.
Агентство прямо закликало біржі, мости, операторів RPC, DeFi-сервіси та блокчейн-компанії блокувати транзакції, що стосуються адрес, пов’язаних із вкраденими активами.
Значна частина викраденого Ethereum згодом була конвертована в Bitcoin через кросчейн-сервіси. CEO Bybit Бен Чжоу заявив, що близько 72% приблизно $900 млн конвертованих активів пройшли через THORChain.
У березні 2025 року crypto.news повідомляв, що нападники конвертували більшу частину викрадених 499 000 ETH протягом десяти днів, при цьому значну частку свопів обробила THORChain.
На ранньому етапі цього періоду відмивання THORChain зафіксувала торговий обсяг на $2,91 млрд і близько $3 млн комісійного доходу за п’ять днів, згідно з ончейн-даними, на які посилався crypto.news.
У новій публікації GoPlus використовується пізніша оцінка — близько $5,9 млрд обсягу та $5,5 млн комісій. Ці цифри є розрахунком самої компанії з безпеки й не були підтверджені у фінансових розкриттях THORChain.
Епізод із Bybit спричинив внутрішню суперечку серед контриб’юторів і валідаторів THORChain. У лютому 2025 року троє валідаторів проголосували за зупинку торгівлі Ethereum, коли через протокол рухалися вкрадені кошти Bybit. Розробник Олег Петров пізніше заявив, що це рішення було скасовано протягом кількох хвилин.
Основний контриб’ютор Pluto згодом заявив, що припинить роботу над THORChain. Валідатор TCB тоді сказав, що також може піти, якщо мережа не розробить спосіб зупиняти потоки, пов’язані з Північною Кореєю.
Засновник THORChain Джон-Пол Торбйорнсен підтримував продовження торгівлі та виступав проти того, щоб неуповноважена третя сторона могла динамічно оновлювати deny-листи на рівні протоколу.
Торбйорнсен сказав, що підтримав би використання вузлами статичних deny-листів, заснованих на офіційній інформації OFAC або ФБР, якщо окремі оператори вважатимуть це прийнятним.
Тепер GoPlus стверджує, що офіційна державна атрибуція створює вагоміші підстави для втручання, ніж динамічні списки, які ведуть приватні компанії з кібербезпеки.
У повідомленні ФБР щодо Bybit у 2025 році приватні сервіси віртуальних активів прямо закликали блокувати транзакції, що стосуються або походять від адрес TraderTraitor, перелічених у повідомленні.
GoPlus знову винесла попередні аргументи на передній план після вересневого злому Bitget. Компанія стверджує, що приблизно 101,5 BTC на суму близько $8,5 млн уже було виведено через THORChain у межах потоків, пов’язаних із Bitget. Також вона заявила, що ще 27,63 млн XRP вартістю близько $43 млн проходили через свопи у напрямку Bitcoin.
Ці цифри походять із трейсингу GoPlus і мають розглядатися як аналітика самої компанії з безпеки, а не як дані, підтверджені Bitget або THORChain.
Bitget підвищила свою підтверджену оцінку активів, переведених на адреси, контрольовані нападником, до приблизно $387,5 млн. Біржа вже почала пропонувати винагороди за повернення коштів і планує поетапно відновити виведення з 28 вересня. Crypto.news повідомляв про оновлену оцінку втрат і програму винагород 26 вересня.
GoPlus заявила, що THORChain могла б використати свою чинну аварійну рамку для коштів, пов’язаних з адресами, офіційно ідентифікованими такими установами, як ФБР або OFAC.
Задокументовані процедури аварійного реагування THORChain визначають критичну подію як ситуацію, у якій кошти в пулах або сховищах зазнають атаки чи іншої загрози безпеці протоколу. Документація наказує операторам вузлів ініціювати паузи та голосувати за цільові аварійні дії за таких умов.
Чи слід застосовувати ту саму рамку до зовнішньо викрадених активів, що проходять через THORChain, — саме це є предметом суперечки, порушеної GoPlus. В опублікованих процедурах THORChain описані технічні надзвичайні ситуації безпеки, але не сказано, що кожна крадіжка третьою стороною автоматично вимагає зупинки протоколу.
XRP
BTC