Isang rogue node operator ang kumuha ng $10.7M mula sa THORChain noong Mayo 15 sa pamamagitan ng isang GG20 vulnerability. Narito ang buong timeline, ang security response, at kung ano ang susunod.
May sumali sa developer Discord ng THORChain noong Mayo 1 sa ilalim ng handle na Dinosauruss. Bago pa lamang ang account. Tiyak ang mga tanong — kung paano makapasok ang isang node sa network, at gaano kabilis. Ang normal na tatlong-araw na churn interval ay naantala na dahil sa hindi kaugnay na mga dahilan, na nangangahulugang naghihintay.
Ayon sa THORChain Exploit Report #1, na inilathala noong Mayo 20, ang node address ng attacker (n84q) ay sa wakas ay pumasok sa active validator set noong Mayo 13. Mga 635,000 RUNE sa dalawang bond address. Random na naitalaga sa isa sa limang vault, tulad ng ibang operator.
Ang Node na Pumasok at Hindi Na Umalis
Sa loob ng dalawang araw, ang node ay lumahok sa karaniwang GG20 signing ceremonies. Walang lumitaw na hindi regular. Ang GG20, o Gennaro-Goldfeder 2020, ay ang threshold signature scheme na ginagamit ng THORChain upang ipamahagi ang control ng vault key sa mga independent operator. Walang isang node ang nagtataglay ng buong private key — sa ilalim ng normal na kondisyon.
Binago ng flaw ang iyon. Sa pamamagitan ng progresibong pagtagas ng key material sa maraming signing rounds, ang attacker ay iniulat na itinayong muli ang buong private key ng vault. Nang kumpleto ang reconstruction, ang outbound transactions ay direktang pinirmahan at ibinroadcast, ganap na nasa labas ng GG20 ceremony.
Ang reactive solvency checker ay nahuli ang divergence sa loob ng ilang minuto. Natukoy nito na ang inaasahang balanse ay lumampas sa aktwal na on-chain balance ng higit sa 1% sa maraming chain, na nag-trigger ng automatic halts sa ETH, AVAX, BSC, BASE, DOGE, at GAIA na walang tao na sangkot. Ang pondo, tinatayang $10M sa unang tantiya, ay nailipat na.
Nagsilabasan ang Discord Bago ang Opisyal na Tugon
Habang humihinto ang network activity, isang community member ang nag-flag ng hindi pangkaraniwang transaksyon: maraming send mula sa TC router patungo sa isang Ethereum address na walang memo. Ang post na iyon ang naging unang alarm na sinimulan ng tao. Si ZachXBT, sa X, ay binabalaan ang komunidad na ang THORChain ay maaaring nawalan ng higit $10M sa Bitcoin, Ethereum, BSC, at Base.
Ang Node xuuu ang unang naglagay ng manual na 720-block pause. Ang iba ay nagdagdag ng mas maraming pause sa mabilis na pagkakasunod-sunod. Ang sistema ng pamamahala ng THORChain ay idinisenyo para dito: ang isang node ay hindi maaaring i-lock ang network nang walang hanggan, ngunit ang maraming independent nodes na mabilis na kumilos ay maaaring magpanatili ng paghinto ng sapat na tagal upang mag-imbestiga. Noong Mayo 15, humigit-kumulang 18 hanggang 20 nodes ang sabay-sabay na nag-stack ng pauses.
Sumunod ang pormal na Mimir governance votes sa Discord. Naabot ang three-vote threshold para sa operational parameters. Na-activate ang HALTTRADING sa block 26183438. HALTSIGNING sa block 26183439. HALTCHAINGLOBAL sa block 26183590. HALTCHURNING sa block 26183849 — ang huli ay partikular upang pigilan ang malisyosong node na lumabas sa network.
Ang buong network ay na-lock down sa loob ng humigit-kumulang dalawang oras mula nang magtaas ng alarm ang komunidad.
Ano ang Natagpuan ng Imbestigasyon, at Ano ang Inilihim Nito
Ang unang pampublikong pahayag ng development team ay dumating noong 11:01 ng Mayo 15, tinatantiya ang pagkawala sa $7.4M at naglista ng tatlong vectors na iniimbestigahan: isang GG20 vulnerability, compromise ng infrastructure, at iba pa. Ang mga node operator ay hinilingang mag-audit ng infrastructure at magsumite ng Bifrost logs.
Pagsapit ng 19:10 ng parehong araw, mas malinaw na ang larawan. Ang on-chain forensics ay nag-link ng malisyosong node address na thor16ucjv3v695mq283me7esh0wdhajjalengcn84q sa mga Ethereum address na nakatanggap ng ninakaw na pondo. Ang binagong bilang ng pagkawala ay umabot sa humigit-kumulang $10.7M. Ang koordinasyon sa Outrider Analytics at law enforcement ay nagsimula na, ayon sa opisyal na ulat.
Ang tanawin ng seguridad ng DeFi noong 2026 ay nakakita na ng $620M na pagkawala hanggang Abril pa lamang. Ang insidente ng THORChain ay nagdagdag ng bigat sa mga alalahanin tungkol sa cryptographic layer vulnerabilities sa cross-chain infrastructure.
Inilabas ang Patch, Bukas Pa ang Pagbawi
Noong Mayo 16, naglabas ang marketing team ng scam warning. Kumakalat na ang pekeng airdrop at refund schemes sa social media. Kinumpirma ng THORChain na wala itong aktibong refund o airdrop program.
Pagsapit ng Mayo 18, malapit nang ilabas ang patch v3.18.1. Sinabi ng dev team na mayroon silang matibay na pag-unawa sa pag-atake ngunit hindi nila ibabahagi ang mga teknikal na detalye hanggang sa maalertong tahimik ang ibang proyektong gumagamit ng parehong GG20 implementation at makapag-patch ng kanilang mga sistema. Ang lahat ng node operator ay hinilingang bawasan ang Bifrost pods bago ang release.
Ang buong landas ng pagbawi ay nasa kamay ng community governance. Ang ADR-028, ang Architecture Decision Record na kasalukuyang bukas para sa talakayan, ang magpapasiya kung paano hahawakan ang nawalang pondo. Ang mga opsyon na pinagdedebatehan ay kinabibilangan ng bond slashing at protocol-owned liquidity absorption. Ang napiling paraan ay inaasahang ipatupad sa v3.19.
Natukoy na ng THORChain ang DKLS, isang mas modernong threshold signature scheme, bilang pangmatagalang cryptographic target nito. Ang Silence Labs ay kinontrata noong Nobyembre 2025 upang gumawa ng custom na DKLS implementation na may identifiable aborts. Ang nakatakdang delivery ay Q1/Q2 2026. Nanatili ang GG20 sa produksyon pansamantala. Dumating ang attacker noong Mayo.
Mag-iwan ng Tugon