Malfunzionamento Thorchain blocca attacco a Binance, FBI pressa nodi

La riorganizzazione di Ethereum costringe Thorchain a un arresto di emergenza

Il problema è iniziato quando Ethereum ha riorganizzato un singolo blocco, sostituendo di fatto un segmento precedentemente accettato della propria cronologia delle transazioni. Un deposito di 10 ETH destinato a un vault di Thorchain è apparso nel blocco scartato ma non è mai tornato nella catena canonica di Ethereum. Gli osservatori di Thorchain avevano già riconosciuto il deposito e accreditato il vault. Quando lo swap associato non ha soddisfatto le condizioni di prezzo, il protocollo ha rimborsato 10 ETH che il vault non aveva mai effettivamente ricevuto.

Successivamente è stato rimborsato un altro deposito proveniente dallo stesso portafoglio, lasciando il vault con un ammanco di circa 10 ETH. La discrepanza ha attivato le protezioni automatiche di solvibilità di Thorchain, che hanno interrotto l’elaborazione delle transazioni su Ethereum. Non sono emerse prove di intenti dolosi alla base della transazione. Secondo le analisi tecniche, l’incidente è stato attribuito a una collisione tra la riorganizzazione di Ethereum e le procedure di verifica dei depositi di Thorchain.

Chainalysis afferma che il riciclaggio derivante dall’hacking di Binance ha incontrato un ostacolo

Il malfunzionamento si è rapidamente trasformato in un’interruzione operativa più ampia. Le operazioni di trading e i nuovi swap si sono interrotti su 12 delle 13 reti esterne supportate da Thorchain, sebbene alcuni pagamenti in uscita avviati in precedenza siano rimasti operativi. Chainalysis ha colto l’ironia della situazione, scrivendo che Thorchain aveva «ritardato inavvertitamente il riciclaggio di una notevole quantità di fondi sottratti a Binance». Chainalysis ha aggiunto:

"Uno si è verificato questa mattina e ha causato [Thorchain] l’emissione errata di un doppio rimborso a una persona che aveva depositato 10 ETH. Ciò ha innescato una ‘pausa di emergenza’ su [Thorchain], impedendo a tutti gli utenti, compresi i riciclatori di denaro della Corea del Nord, di utilizzare gli swap cross-chain. Fino a quando il servizio non tornerà online, né gli hacker né nessun altro potrà effettuare swap attraverso la maggior parte [Thorchain]ponti di Thorchain».

La società di analisi blockchain ha spiegato che la pausa di emergenza ha impedito sia agli utenti ordinari che ai presunti riciclatori nordcoreani di accedere alla maggior parte dei percorsi di scambio cross-chain di Thorchain. L’interruzione ha fatto seguito alla violazione subita da Binance il 29 ottobre, che gli investigatori hanno attribuito all’operazione nordcoreana “Tradertraitor”. Gli analisti blockchain avevano individuato fondi rubati che transitavano attraverso percorsi associati a Thorchain, comprese attività collegate a precedenti furti di criptovalute. Tuttavia, l’interruzione non è stata né un congelamento mirato di asset né un blocco permanente. Le misure di sicurezza di Thorchain hanno reagito a un problema contabile, non all’origine delle criptovalute in entrata.

L’FBI fa pressione sugli operatori dei nodi di Thorchain affinché blocchino i fondi nordcoreani

Mentre gli sviluppatori indagavano sul malfunzionamento, le autorità federali stavano perseguendo un approccio separato. L’FBI, in collaborazione con il Servizio Segreto degli Stati Uniti e la Divisione Investigativa Criminale dell’IRS, ha emesso un avviso il 31 ottobre esortando i fornitori di infrastrutture a impedire le transazioni che coinvolgono portafogli collegati al furto su Binance. Il suo appello menzionava esplicitamente gli operatori dei nodi di Thorchain, insieme ai fornitori di RPC, agli exchange istantanei, ai servizi di finanza decentralizzata (DeFi) e alle società di analisi blockchain.

La richiesta era di natura volontaria e non costituiva un’ordinanza del tribunale. Ciononostante, ha sottoposto a un nuovo scrutinio un protocollo senza autorizzazione i cui operatori si erano in precedenza opposti al blocco selettivo delle transazioni. Il cofondatore tecnico di Thorchain, Chad Barraford, ha risposto che gli operatori disponevano di informazioni accessibili al pubblico, descrivendo la situazione come «Nessun mandato di comparizione richiesto: lo scenario migliore per le indagini». Le sue osservazioni riguardavano l’accesso alle informazioni da parte degli investigatori piuttosto che l’eventuale ottemperanza degli operatori alla richiesta di blocco delle transazioni.

Un errore contabile da 10 ETH complica una rapina multimiliardaria

L’episodio ha messo in luce una peculiare contraddizione nell’infrastruttura cross-chain. Un sistema progettato per trasferire criptovalute senza autorizzazione centralizzata è diventato temporaneamente indisponibile perché le sue stesse protezioni contabili hanno rilevato un deposito mancante. Gli sviluppatori hanno pianificato modifiche alle procedure di osservazione e finalizzazione, occupandosi al contempo del deficit del vault interessato. L’interruzione è durata diverse ore, con il ripristino che è avvenuto su singole catene.

La richiesta dell’FBI è rimasta una questione a sé stante. Anche se le misure di sicurezza del software di Thorchain possono bloccare intere reti, rifiutare in modo selettivo le transazioni associate a determinati portafogli pone un problema tecnico e di governance diverso. Per alcune ore, un credito contabile di 10 ETH erroneamente attribuito ha ottenuto ciò che un ricorso federale non era riuscito a ottenere in modo dimostrabile: ha chiuso un’importante via di scambio a tutti, compresi i presunti riciclatori di denaro nordcoreani.