Збій Thorchain зірвав атаку хакерів на Binance під тиском ФБР

Реорганізація Ethereum змусила Thorchain піти на екстрене відключення

Проблеми почалися, коли Ethereum реорганізував один блок, фактично замінивши раніше прийнятий сегмент своєї історії транзакцій. Депозит у розмірі 10 ETH, призначений для сховища Thorchain, з’явився у відкинутому блоці, але так і не повернувся до канонічного ланцюга Ethereum. Спостерігачі Thorchain вже впізнали цей депозит і зарахували кошти на рахунок сховища. Коли пов’язаний обмін не виконав цінові умови, протокол повернув 10 ETH, яких сховище насправді ніколи не отримувало.

Згодом було повернено ще один депозит з того самого гаманця, внаслідок чого у сховищі утворився дефіцит приблизно у 10 ETH. Ця розбіжність активувала автоматичні механізми захисту платоспроможності Thorchain, що призвело до зупинки обробки транзакцій з Ethereum. Доказів зловмисного наміру за цією транзакцією виявлено не було. З технічної точки зору інцидент пов’язують із колізією між реорганізацією Ethereum та процедурами перевірки депозитів Thorchain.

Chainalysis: відмивання коштів після злому Binance натрапило на перешкоду

Ця несправність швидко переросла у масштабніші операційні збої. Торгівля та нові свопи були зупинені у 12 з 13 зовнішніх мереж, що підтримуються Thorchain, хоча деякі раніше ініційовані вихідні платежі продовжували оброблятися. Chainalysis підкреслила іронію ситуації, зазначивши, що Thorchain «ненавмисно затримала відмивання значної суми коштів, викрадених з Binance».

Chainalysis додала:

«Один з таких випадків стався сьогодні вранці і призвів до [Thorchain] помилкове подвійне повернення коштів особі, яка внесла 10 ETH. Це спричинило «аварійну паузу» на [Thorchain], що завадило всім користувачам, включаючи відмивачів грошей з КНДР, користуватися міжланцюговими обмінами. Доки сервіс не відновиться, ані хакери, ані будь-хто інший не зможе здійснювати обмін через більшість [Thorchain]мостів».

Компанія, що спеціалізується на аналізі блокчейнів, пояснила, що аварійна пауза заблокувала доступ як звичайним клієнтам, так і підозрюваним північнокорейським відмивачам грошей до більшості міжланцюгових маршрутів обміну Thorchain. Ця перерва сталася після зломu Binance 29 жовтня, який слідчі пов’язали з північнокорейською операцією «Tradertraitor». Аналітики блокчейну виявили переміщення вкрадених коштів через маршрути, пов’язані з Thorchain, зокрема активність, пов’язану з попередніми крадіжками криптовалюти.

Проте це переривання не було ані цілеспрямованим заморожуванням активів, ані постійною блокадою. Захисні механізми Thorchain відреагували на проблему з обліком, а не на походження вхідної криптовалюти.

ФБР вимагає від операторів вузлів Thorchain заблокувати північнокорейські кошти

Поки розробники розслідували несправність, федеральні органи влади застосовували інший підхід. ФБР, спільно з Секретною службою США та Відділом кримінальних розслідувань Податкової служби (IRS), 31 жовтня опублікувало попередження, в якому закликало постачальників інфраструктури запобігати транзакціям із гаманцями, пов’язаними з крадіжкою на Binance. У цьому зверненні прямо згадувалися оператори вузлів Thorchain, а також постачальники RPC, сервіси миттєвого обміну, сервіси децентралізованих фінансів (DeFi) та компанії, що займаються аналітикою блокчейну.

Цей запит мав добровільний характер, а не був судовим наказом. Проте він привернув нову увагу до протоколу без дозволів, оператори якого раніше чинили опір вибірковому блокуванню транзакцій. Технічний співзасновник Thorchain Чад Баррафорд відповів, що оператори володіють загальнодоступною інформацією, охарактеризувавши ситуацію як «не потрібні повістки до суду — найкращий сценарій для розслідувань». Його зауваження стосувалися доступу слідчих до інформації, а не того, чи виконають оператори запит щодо блокування транзакцій.

Помилка в обліку на суму 10 ETH ускладнює крадіжку на кілька мільярдів доларів

Цей випадок викрив своєрідне протиріччя в міжланцюговій інфраструктурі. Система, призначена для переміщення криптовалюти без централізованого дозволу, на короткий час стала недоступною, оскільки її власні засоби захисту обліку виявили відсутність депозиту. Розробники запланували зміни до процедур спостереження та фіналізації, водночас усуваючи дефіцит у відповідному сховищі. Перебої тривали кілька годин, а відновлення відбувалося по окремих ланцюгах.

Запит ФБР залишився окремим питанням. Навіть якщо програмні засоби захисту Thorchain можуть зупинити цілі мережі, вибіркова відмова у транзакціях, пов’язаних із конкретними гаманцями, створює іншу технічну та управлінську проблему. Протягом кількох годин помилково зараховані 10 ETH досягли того, чого, як було доведено, не вдалося досягти федеральному зверненню: вони закрили головний канал обміну для всіх, включаючи підозрюваних у відмиванні грошей з Північної Кореї.