THORChainがリカバリースキャンを停止、Chainalysisが1,000万ドルの攻撃者のウォレットを追跡

THORChainは5月16日、Xで声明を発表し、約1,000万ドルの暗号資産が流出した攻撃の後にリカバリープログラムを実施しているという情報について、ユーザーは無視するよう求めています。

THORChainが誤情報について釈明したのと同じ日、ブロックチェーン分析firm Chainalysisは、攻撃者が窃盗が実行される数週間前に資金を提供されたウォレットとリンクされていることを示すオンチェーン証拠を公開しました。

THORChainは「『返金』、『エアドロップ』、補償請求、および他の alleged なイニシアチブに関する複数の偽のアカウントと誤情報が circulating していることを認識しました」と書きました。

ビットコインに焦点を当てた分散型取引所は、初期の調査結果に基づき、攻撃でユーザー資金は失われていないと述べました。また、現在、返金、エアドロップ、または補償プログラムを実施していないとも述べています。

同社は、それとは異なる主張をするアカウントやTHORChainを装うアカウントを無視するようユーザーに呼びかけました。  

ThorChainを揺るがした10Mの攻撃

セキュリティfirm PeckShieldは、ThorChainから盗まれた資金を約1,000万ドルと推定しています。これには36.75 BTC（約300万ドル）と、Ethereum、BNB Chain、Baseからの約700万ドルの資産が含まれます。ビットコインは単一のウォレットに移動され、3,156 ETH以上がArkham Intelligenceによって追跡されている別のアドレスに到着しました（Cryptopolitanの以前の報道による）。

5月15日、 THORChainは 「現在の証拠は、攻撃に関連する新しく生成されたノードを指しており、おそらく単一の悪意のあるアクターによって運営されています」と述べています。

同社は攻撃の調査を続けていますが、原因に関する主要な理論は、GG20 TSS実装の脆弱性により、ボルトのキー材料が「時間とともに漏洩する」ことを可能にしたことであると付け加えました。

ネットワークは現在、複数のノードオペレーターが「make pause」を実行したため一時停止されていますが、再開計画を現在作業中であると述べています。

これまでに、プラットフォームはリカバリー計画にコミットしていませんが、すべてのリカバリー決定は、損失の処理方法に関するノードガバナンスの決定を必要とする可能性が高いと述べています。

THORChainの ネイティブトークンRUNE は、その直後に21%以上下落し、5月16日時点で約0.42ドルで取引されていました。

Chainalysisが攻撃者を事前配置されたウォレットにリンク

Chainalysisは 5月16日、攻撃者にリンクされていると接続されたウォレットによる数週間にわたる準備的なオンチェーン活動の詳細を5部構成のスレッドでXに公開しました。同社は、攻撃者リンクのウォレットが、窃盗が実行される前にMonero、Hyperliquid、およびTHORChain自体を通じて資金を移動したと述べています。

4月下旬、そのようなウォレットの1つがHyperliquid-Moneroのプライバシーブリッジを通じてXMRを預け入れ、結果としてのポジションをUSDCにスワップし、Arbitrumに引き出し、Ethereumにブリッジしました（Chainalysisの主張による）。

ブリッジされたETHはその後4つのブランチに分かれました。1つのブランチは攻撃者の受取ウォレットに直接接続しており、仲介者が盗まれた資金が到着するわずか43分前に8 ETHをそのウォレットに転送しました（同社の分析による）。

THORChainのコントリビューターはDiscordのアップデートで、現在の証拠は攻撃に関連する新しく生成されたノードを指しており、おそらく単一の悪意のあるアクターによって運営されていると述べました。主要な理論は、プロトコルのXへのインシデントアップデートによると、GG20署名スキームの脆弱性に関与しています。

この攻撃は、2026年5月に発生したDeFiセキュリティインシデントの連鎖の一環です。Cryptopolitanは以前、Transit Finance（約188万ドルが損失）や、同月に発生したHuma Finance（約10万1,400ドルが損失）およびInk Finance（約14万ドル）の攻撃についても報じており、これらはすべてPolygon上のスマートコントラクトを対象としていました。