Storing in Thorchain blokkeert hackroute naar Binance, FBI zet nodes onder druk

Ethereum-reorganisatie dwingt Thorchain tot noodstop

De problemen begonnen toen Ethereum één blok reorganiseerde, waardoor een eerder geaccepteerd deel van de transactiegeschiedenis in feite werd vervangen. Een storting van 10 ETH, bestemd voor een Thorchain-kluis, verscheen in het verwijderde blok maar keerde nooit terug naar de canonieke keten van Ethereum. De waarnemers van Thorchain hadden de storting al herkend en bijgeschreven op de kluis. Toen de bijbehorende swap niet voldeed aan de prijsvoorwaarden, stortte het protocol 10 ETH terug die de kluis in werkelijkheid nooit had ontvangen.

Een andere storting vanuit dezelfde wallet werd vervolgens terugbetaald, waardoor de vault ongeveer 10 ETH tekort kwam. Deze discrepantie activeerde de automatische solvabiliteitsbeveiligingen van Thorchain, waardoor de verwerking van Ethereum-transacties werd stopgezet. Er waren geen aanwijzingen voor kwaadwillige bedoelingen achter de transactie. Technische analyses schreven het incident toe aan een botsing tussen de reorganisatie van Ethereum en de verificatieprocedures voor stortingen van Thorchain.

Chainalysis: witwassen na Binance-hack loopt vast

De storing groeide al snel uit tot een bredere operationele verstoring. De handel en nieuwe swaps werden stopgezet op 12 van de 13 door Thorchain ondersteunde externe netwerken, hoewel bepaalde eerder geïnitieerde uitgaande betalingen wel doorgingen. Chainalysis greep de ironie aan en schreef dat Thorchain “onbedoeld het witwassen van een aanzienlijk bedrag aan gestolen middelen van Binance had vertraagd.”

Chainalysis voegde hieraan toe:

"Er deed zich vanochtend een incident voor waardoor [Thorchain] er toe dat er ten onrechte een dubbele terugbetaling werd uitgevoerd aan iemand die 10 ETH had gestort. Dit leidde tot een ‘noodpauze’ op [Thorchain], waardoor alle gebruikers, inclusief de witwassers van DPRK, geen gebruik meer konden maken van cross-chain swaps. Totdat de dienst weer online is, kunnen noch de hackers, noch iemand anders swappen via het merendeel van [Thorchain]bruggen van Thorchain."

Het blockchain-analysebedrijf legde uit dat de noodpauze zowel gewone klanten als vermoedelijke Noord-Koreaanse witwassers de toegang ontzegde tot de meeste cross-chain-ruilroutes van Thorchain. De verstoring volgde op de inbreuk bij Binance op 29 oktober, die door onderzoekers werd toegeschreven aan de Noord-Koreaanse operatie ‘Tradertraitor’. Blockchain-analisten hadden gestolen middelen geïdentificeerd die via aan Thorchain gekoppelde routes werden verplaatst, waaronder activiteiten die verband hielden met eerdere diefstallen van cryptovaluta.

Toch was de onderbreking noch een gerichte bevriezing van activa, noch een permanente blokkade. De beveiligingsmaatregelen van Thorchain hadden gereageerd op een boekhoudkundig probleem, niet op de herkomst van de binnenkomende cryptovaluta.

FBI dringt er bij Thorchain-node-exploitanten op aan om Noord-Koreaanse fondsen te blokkeren

Terwijl ontwikkelaars de storing onderzochten, volgden federale autoriteiten een andere aanpak. De FBI, in samenwerking met de Amerikaanse Secret Service en de IRS Criminal Investigation, bracht op 31 oktober een waarschuwing uit waarin infrastructuuraanbieders werden aangespoord om transacties te voorkomen waarbij wallets betrokken waren die verband hielden met de Binance-diefstal. In deze oproep werden naast RPC-aanbieders, instant exchanges, gedecentraliseerde financiële (DeFi) diensten en blockchain-analysebedrijven ook specifiek de node-beheerders van Thorchain genoemd.

Het verzoek was vrijwillig en geen gerechtelijk bevel. Toch zorgde het voor nieuwe aandacht voor een permissionless protocol waarvan de beheerders zich eerder hadden verzet tegen het selectief blokkeren van transacties. Chad Barraford, technisch medeoprichter van Thorchain, reageerde dat beheerders over openbaar toegankelijke informatie beschikten en beschreef de situatie als „Geen dagvaardingen nodig, een best-case scenario voor onderzoeken.” Zijn opmerkingen hadden betrekking op de toegang van onderzoekers tot informatie, en niet op de vraag of de beheerders zouden voldoen aan het verzoek om transacties te blokkeren.

Een boekhoudfout van 10 ETH bemoeilijkt een roof van miljarden dollars

De episode legde een merkwaardige tegenstrijdigheid in de cross-chain-infrastructuur bloot. Een systeem dat is ontworpen om cryptovaluta te verplaatsen zonder gecentraliseerde toestemming, was kortstondig niet beschikbaar omdat de eigen boekhoudkundige beveiligingen een ontbrekende storting detecteerden. Ontwikkelaars planden wijzigingen in de observatie- en afrondingsprocedures terwijl ze het tekort in de getroffen kluis aanpakten. De onderbreking duurde enkele uren, waarbij het herstel per afzonderlijke keten plaatsvond.

Het verzoek van de FBI bleef een aparte kwestie. Zelfs als de softwarebeveiligingen van Thorchain hele netwerken kunnen stilleggen, levert het selectief weigeren van transacties die verband houden met bepaalde wallets een ander technisch en bestuurlijk probleem op. Gedurende enkele uren bereikte een verkeerd geplaatste boekhoudkundige creditering van 10 ETH wat een federaal beroep aantoonbaar niet had bereikt: het sloot een belangrijke ruilroute af voor iedereen, inclusief verdachte Noord-Koreaanse witwassers.