Операторы нод THORChain голосуют за план перезапуска сети после эксплойта, приведшего к потере $10,7 млн

THORChain запустил голосование по управлению для операторов нод относительно пути к перезапуску операций после эксплойта 15 мая, в результате которого из одного хранилища было выведено около $10,7 млн.

Предложение, получившее название ADR-028, описывает, как сеть поглотит убытки и возобновит работу.

Какие уязвимости привели к эксплойту THORChain?

Сообщается, что злоумышленник присоединился к сети в качестве оператора ноды за два дня до атаки. Затем он эксплуатировал уязвимость в схеме пороговых подписей GG20 THORChain (TSS), криптографической системе, распределяющей контроль над ключами хранилища между несколькими независимыми нодами, чтобы ни один оператор никогда не владел полным приватным ключом.

Пострадал только один из пяти хранилищ: компания по безопасности PeckShieldAlert оценила сумму похищенного примерно в $10 млн, которые были разделены между 36,75 BTC (около $3 млн на тот момент) и примерно $7 млн в активах Ethereum, BNB Chain и Base. Собственный анализ THORChain после инцидента оценил сумму в $10,7 млн.

Протокол заявил, что атака была обнаружена в течение нескольких минут, и на уровне блокчейна были запущены остановки торговли. Операторы нод вручную приостановили работу через систему управления, что привело к полной блокировке сети примерно через два часа после сигнала тревоги.

RUNE, нативный токен THORChain, упал более чем на 21% в дни после взлома. В настоящее время он торгуется примерно по $0,44 согласно данным CoinMarketCap.

Что предлагает ADR-028?

ADR-028 был опубликован THORChain на GitLab с открытием голосования для операторов нод. В протоколе публикации в X указано, что план восстановления предполагает, что THORChain «сначала поглотит убытки за счет ликвидности, принадлежащей протоколу», добавив, что остальная часть убытков будет распределена между держателями синтетических активов.

Это означает, что ликвидность, принадлежащая протоколу, будет снижена до нуля, и THORChain заявляет, что «ADR предлагает перенаправить часть системного дохода на ее восполнение в течение времени».

В нем stated, что GG20 был исправлен и обновлен, добавив, что ноды, не связанные с злоумышленником, но затронутые им из-за нахождения в одном хранилище, не будут слешены. Также предлагается предложить злоумышленнику 10% от вознаграждения за возврат средств.

На GitLab комментатор под ником высказал свое мнение по предложению, подняв два пункта.

Один из них заключался в том, чтобы исключить раздел о вознаграждении злоумышленнику из ADR, заявив, что это должно решаться через форензику и правоохранительные органы. Второй пункт призывал к постоянному выделению системного дохода на внешние аудиты безопасности, враждебный обзор уровня TSS и финансируемую программу вознаграждений за уязвимости с контрольными точками выпуска, связанными с ней.

«Как написано, план восстанавливает ликвидность одного хранилища, но пока не финансирует ничего против повторения инцидента», — написал комментатор в сниппете на GitLab. «Стоит исправить причину наряду с балансом».

След злоумышленника

Компания по блокчейн-аналитике Chainalysis опубликовала ончейн-доказательства 16 мая, связывающие злоумышленника с кошельками, которые были профинансированы за несколько недель до кражи. Компания проследила перемещения злоумышленника через Monero, Hyperliquid и сам THORChain.

Один кошелек внес XMR через мост конфиденциальности Hyperliquid-Monero в конце апреля, обменял полученную позицию на USDC, затем вывел на Arbitrum и перевел в Ethereum. Посредник затем перевел 8 ETH в получающий кошелек злоумышленника всего за 43 минуты до поступления украденных средств, согласно Chainalysis.

Что будет с THORChain теперь? 

Голосование операторов нод по ADR-028 определит, перезапустит ли THORChain работу в рамках предложенной структуры восстановления или потребует дальнейших изменений. 

Согласно отчету об эксплойте, THORChain уже идентифицировал более современную схему подписи под названием DKLS в качестве долгосрочной замены GG20 и в ноябре 2025 года привлек Silence Labs для создания пользовательской реализации, с доставкой, запланированной на первый или второй квартал 2026 года.