Ein böswilliger Node-Betreiber hat am 15. Mai über eine GG20-Schwachstelle 10,7 Millionen US-Dollar von THORChain abgezogen. Hier ist der vollständige Zeitplan, die Sicherheitsreaktion und was als Nächstes kommt.
Am 1. Mai trat jemand unter dem Namen Dinosauruss dem THORChain-Entwickler-Discord bei. Der Account war neu. Die Fragen waren präzise – wie man einen Node in das Netzwerk einschleusen kann und wie schnell das geht. Das übliche dreitägige Churn-Intervall war bereits aus unabhängigen Gründen verzögert, was Wartezeit bedeutete.
Laut dem THORChain Exploit Report #1, veröffentlicht am 20. Mai, trat die Node-Adresse des Angreifers (n84q) schließlich am 13. Mai dem aktiven Validatoren-Set bei. Rund 635.000 RUNE über zwei Bond-Adressen. Wie jeder andere Betreiber wurde sie zufällig einem von fünf Vaults zugewiesen.
Der Node, der reinkam und nie wieder ging
Zwei Tage lang nahm der Node an routinemäßigen GG20-Signierzeremonien teil. Nichts schien ungewöhnlich. GG20, oder Gennaro-Goldfeder 2020, ist das Threshold-Signaturschema, das THORChain verwendet, um die Kontrolle über Vault-Schlüssel auf unabhängige Betreiber zu verteilen. Kein einzelner Node besitzt jemals den vollständigen privaten Schlüssel – unter normalen Bedingungen.
Der Fehler änderte das. Durch fortschreitendes Auslaufen von Schlüsselmaterial über mehrere Signierrunden hinweg soll der Angreifer den vollständigen privaten Schlüssel des Vaults rekonstruiert haben. Als die Rekonstruktion abgeschlossen war, wurden ausgehende Transaktionen direkt signiert und gesendet, vollständig außerhalb der GG20-Zeremonie.
Der reaktive Solvenzprüfer erkannte die Abweichung innerhalb von Minuten. Er stellte fest, dass der erwartete Saldo den tatsächlichen On-Chain-Saldo um mehr als 1 % über mehrere Chains hinweg überstieg, was automatische Stopps auf ETH, AVAX, BSC, BASE, DOGE und GAIA auslöste – ohne menschliches Eingreifen. Die Gelder, ersten Schätzungen zufolge rund 10 Millionen US-Dollar, waren bereits bewegt worden.
Discord war hellwach, bevor die offizielle Antwort kam
Als die Netzwerkaktivität ins Stocken geriet, meldete ein Community-Mitglied ungewöhnliche Transaktionen: mehrere Sendungen vom TC-Router an eine Ethereum-Adresse ohne Memo. Dieser Beitrag wurde der erste von Menschen ausgelöste Alarm. ZachXBT auf X warnte die Community, dass THORChain möglicherweise über 10 Millionen US-Dollar über Bitcoin, Ethereum, BSC und Base verloren habe.
Node xuuu setzte als erstes eine manuelle Pause von 720 Blöcken. Andere fügten schnell weitere Pausen hinzu. Das THORChain-Governance-System ist genau dafür ausgelegt: Ein einzelner Node kann das Netzwerk nicht auf unbestimmte Zeit sperren, aber mehrere unabhängige Nodes, die schnell handeln, können einen Stillstand aufrechterhalten, der lang genug für Ermittlungen ist. Am 15. Mai legten etwa 18 bis 20 Nodes gleichzeitig Pausen ein.
Formelle Mimir-Governance-Abstimmungen folgten über Discord. Die Drei-Stimmen-Schwelle für Betriebsparameter wurde erreicht. HALTTRADING aktivierte bei Block 26183438. HALTSIGNING bei Block 26183439. HALTCHAINGLOBAL bei Block 26183590. HALTCHURNING bei Block 26183849 – letzteres speziell, um zu verhindern, dass der böswillige Node das Netzwerk verlässt.
Das gesamte Netzwerk wurde innerhalb von etwa zwei Stunden nach dem Alarm durch die Community abgeriegelt.
Was die Untersuchung ergab – und was sie zurückhielt
Die erste öffentliche Stellungnahme des Entwicklungsteams erfolgte um 11:01 Uhr am 15. Mai, mit einer Schätzung der Verluste auf 7,4 Millionen US-Dollar und der Nennung von drei untersuchten Vektoren: eine GG20-Schwachstelle, Kompromittierung der Infrastruktur und andere. Node-Betreiber wurden gebeten, ihre Infrastruktur zu prüfen und Bifrost-Logs einzureichen.
Um 19:10 Uhr desselben Tages war das Bild klarer. On-Chain-Forensik verband die böswillige Node-Adresse thor16ucjv3v695mq283me7esh0wdhajjalengcn84q mit den Ethereum-Adressen, die die gestohlenen Gelder erhalten hatten. Die überarbeitete Verlustzahl belief sich auf etwa 10,7 Millionen US-Dollar. Die Koordination mit Outrider Analytics und Strafverfolgungsbehörden war laut offiziellem Bericht bereits im Gange.
Die DeFi-Sicherheitslandschaft im Jahr 2026 hatte bereits bis einschließlich April Verluste von 620 Millionen US-Dollar verzeichnet. THORChains Vorfall verstärkte die Bedenken hinsichtlich Schwachstellen auf kryptografischer Ebene in Chain-übergreifender Infrastruktur.
Patch veröffentlicht, Wiederherstellung noch offen
Am 16. Mai gab das Marketingteam eine Betrugswarnung heraus. Gefälschte Airdrop- und Rückerstattungssysteme verbreiteten sich bereits in sozialen Medien. THORChain bestätigte, dass es kein aktives Rückerstattungs- oder Airdrop-Programm gibt.
Bis zum 18. Mai stand der Patch v3.18.1 kurz bevor. Das Entwicklerteam erklärte, es habe ein fundiertes Verständnis des Angriffs, werde aber technische Details zurückhalten, bis andere Projekte, die dieselbe GG20-Implementierung verwenden, diskret gewarnt und ihre eigenen Systeme patchen könnten. Alle Node-Betreiber wurden gebeten, vor der Veröffentlichung die Bifrost-Pods herunterzufahren.
Der vollständige Wiederherstellungsweg liegt in den Händen der Community-Governance. ADR-028, der Architecture Decision Record, der derzeit zur Diskussion steht, wird bestimmen, wie mit den verlorenen Geldern umgegangen wird. Zu den diskutierten Optionen gehören das Kürzen von Bonds und die Absorption durch protokolleigene Liquidität. Der gewählte Ansatz soll in v3.19 umgesetzt werden.
THORChain hatte bereits DKLS, ein moderneres Threshold-Signaturschema, als sein langfristiges kryptografisches Ziel identifiziert. Silence Labs wurde im November 2025 beauftragt, eine benutzerdefinierte DKLS-Implementierung mit identifizierbaren Abbrüchen zu erstellen. Die Auslieferung war für Q1/Q2 2026 geplant. GG20 blieb in der Zwischenzeit in Produktion. Der Angreifer kam im Mai.
Schreibe einen Kommentar