THORChain schließt Recovery-Betrug aus, während Chainalysis Angreifer-Wallets in $10M-Exploit verfolgt
- THORChain sagt, dass derzeit kein offizielles Wiederherstellungs-, Airdrop- oder Erstattungsprogramm existiert, und riet Nutzern, Nachahmerkonten zu ignorieren.
- Chainalysis verfolgte mit dem Angreifer verbundene Wallets, die angeblich Wochen vor dem Exploit Gelder über Monero, Hyperliquid und THORChain bewegt haben.
- Der Vorfall fügt sich in eine wachsende Welle von DeFi-Hacks im Mai 2026 ein; der RUNE-Token von THORChain fiel nach dem Einbruch um über 21 %.
THORChain hat am 16. Mai eine Erklärung auf X veröffentlicht und die Nutzer gebeten, Informationen darüber zu ignorieren, dass es ein Wiederherstellungsprogramm nach dem Exploit durchführe, das etwa 10 Millionen US-Dollar an Krypto-Assets abfließen ließ.
Am selben Tag, an dem THORChain über Missverständnisse aufklärt, veröffentlichte die Blockchain-Analysefirma Chainalysis On-Chain-Beweise, die die Angreifer mit Wallets verbinden, die Wochen vor der Ausführung des Diebstahls finanziert wurden.
THORChain schrieb, „Wir haben Kenntnis von mehreren gefälschten Konten und falschen Informationen erhalten, die im Umlauf sind, bezüglich ‚Rückerstattungen‘, ‚Airdrops‘, Entschädigungsansprüchen und anderer angeblicher Initiativen.“
Die auf Bitcoin fokussierte dezentrale Börse erklärte, dass nach ihren ersten Erkenntnissen keine Benutzerfonds im Exploit verloren gingen. Sie erklärte auch, dass sie derzeit keine Rückerstattungs-, Airdrop- oder Entschädigungsprogramme durchführt.
Sie forderte die Nutzer auf, jedes Konto zu ignorieren, das anderes behauptet oder sich als THORChain ausgibt.
Der $10M-Exploit, der ThorChain erschütterte
Das Sicherheitsunternehmen PeckShield schätzte die von ThorChain gestohlenen Gelder auf etwa 10 Millionen US-Dollar, einschließlich 36,75 BTC (ca. 3 Millionen US-Dollar) und etwa 7 Millionen US-Dollar an Assets von Ethereum, BNB Chain und Base. Das Bitcoin wurde in eine einzelne Wallet verschoben, während mehr als 3.156 ETH in einer separaten Adresse landeten, die von Arkham Intelligence verfolgt wird, so die frühere Berichterstattung von Cryptopolitan.
Am 15. THORChain erklärte dass „aktuelle Hinweise auf einen neu generierten Node hinweisen, der mit dem Angriff verbunden ist, der wahrscheinlich von einem einzelnen böswilligen Akteur betrieben wird.“
Es erklärte, dass es den Exploit noch untersucht, fügte aber hinzu, dass seine führende Theorie für die Ursache ein Exploit in der GG20 TSS-Implementierung ist, der es ermöglicht, dass Vault-Schlüsselmaterial „mit der Zeit ausläuft.“
Das Netzwerk ist derzeit pausiert, nachdem mehrere Node-Betreiber „make pause“ ausgeführt hatten, aber es erklärte, dass es derzeit an einem Neustartplan arbeitet.
Bisher hat sich die Plattform nicht zu einem Wiederherstellungsplan verpflichtet; sie erklärte jedoch, dass alle Wiederherstellungsentscheidungen wahrscheinlich Node-Governance-Entscheidungen darüber erfordern werden, wie mit Verlusten umgegangen wird.
THORChain’s Native-Token RUNE ist in der Folge um über 21 % gefallen und handelte am 16. Mai nahe bei 0,42 US-Dollar.
Chainalysis verbindet Angreifer mit vorab vorbereiteten Wallets
Chainalysis veröffentlichte am 16. Mai einen fünfteiligen Thread auf X, der wochenlange vorbereitende On-Chain-Aktivitäten von Wallets detailliert beschreibt, die es mit dem Angreifer verband. Das Unternehmen sagte, dass Angreifer-Wallets Gelder durch Monero, Hyperliquid und THORChain selbst bewegten, bevor sie den Diebstahl ausführten.
Ende April habe eine solche Wallet XMR über eine Hyperliquid-Monero-Privacy-Brücke eingezahlt, die daraus resultierende Position in USDC getauscht, auf Arbitrum abgehoben und nach Ethereum gebrückt, so Chainalysis.
Das gebrückte ETH wurde dann in vier Zweige aufgeteilt. Ein Zweig verband sich direkt mit der empfangenden Wallet des Angreifers: Ein Vermittler leitete 8 ETH genau 43 Minuten vor der Ankunft der gestohlenen Gelder dorthin weiter, so die Analyse des Unternehmens.
THORChain-Mitwirkende sagten in einem Discord-Update, dass aktuelle Hinweise auf einen neu generierten Node hinweisen, der mit dem Angriff verbunden ist, der wahrscheinlich von einem einzelnen böswilligen Akteur betrieben wird. Die führende Theorie beinhaltet eine Verwundbarkeit im GG20-Signaturschema, so das Vorfall-Update des Protokolls, das auf X veröffentlicht wurde.
Der Exploit fügt sich in eine Reihe von DeFi-Sicherheitsvorfällen im Mai 2026 ein. Cryptopolitan hat zuvor über Angriffe auf Transit Finance (etwa 1,88 Millionen US-Dollar Verlust) sowie auf Huma Finance (etwa 101.400 US-Dollar Verlust) und Ink Finance (rund 140.000 US-Dollar) berichtet, die beide zu Beginn des Monats stattfanden und Smart Contracts auf Polygon zielten.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
