Chainalysis: сбой в THORChain замедлил отмывание похищенных у Binance средств

Остановка обменов в децентрализованном протоколе THORChain непреднамеренно задержала отмывание значительной суммы, похищенной при взломе Binance на $6,3 млрд, отметили аналитики Chainalysis. Протокол приостановил операции в десяти блокчейнах из-за ошибки при реорганизации блока Ethereum.

THORChain just inadvertently delayed the laundering of a significant amount of funds stolen from Binance. The reason? An Ethereum reorg. One happened this morning and caused THORChain to incorrectly issue a double refund to someone who had deposited 10 ETH. This triggered an “emergency pause” on THORChain, preventing all users, including DPRK’s money launderers, from using cross-chain swaps. Until the service comes back online, neither the hackers nor anyone else can swap through a majority of THORChain’s bridges.

— Chainalysis (@chainalysis) October 31, 2026

Хакеры Binance выводили средства через THORChain

31 октября Федеральное бюро расследований США (ФБР) связало взлом Binance с северокорейской группировкой TraderTraitor. Ведомство опубликовало сотни адресов злоумышленников и призвало операторов узлов THORChain, DeFi-протоколы и другие криптовалютные сервисы ограничить операции с ними.

THORChain остановил обмены в тот же день, но не в ответ на призыв ФБР.

Взлом Binance поднял вопрос о двойных стандартах при заморозке украденной криптовалюты

В Chainalysis отметили, что остановка затронула всех пользователей протокола, в том числе северокорейских хакеров, которые переводили похищенные активы между блокчейнами. При этом в компании не уточнили, сколько средств удалось задержать. У злоумышленников также оставались другие способы вывода средств.

По подсчетам исследователя под псевдонимом SomaXBT, за два дня после взлома преступники вывели из сети Tron около $242 млн.

1/ Binance exploit just passed 2 days, and so far the attackers (laundering team) have laundered ~$242M through the Tron leg alone, out of the $3.5 billion they still controlled after the freezes. Here is the full analysis of the laundering from my tracing 🧵 https://t.co/QvawpJ7re5

— SomaXBT (@somaxbt) November 1, 2026

Примерно $44 млн из этой суммы прошли через THORChain, $48 млн — через Relay и $32,1 млн — через Chainflip.

Ошибка с возвратом ETH остановила обмены в 10 сетях

31 октября в сети Ethereum произошла реорганизация: один из уже добавленных блоков заменили другим, и попавшие в него операции перестали считаться подтвержденными.

Среди них оказался депозит на 10 ETH в хранилище THORChain. Протокол успел его учесть, хотя в итоговой цепочке Ethereum этой транзакции уже не было.

Обмен по этому депозиту не уложился в заданный пользователем лимит цены, и THORChain отправил возврат. В итоге протокол выплатил 10 ETH, которых не получал, а исходные средства пользователя после реорганизации тоже остались у него.

Автоматическая проверка платежеспособности заметила недостачу и сама остановила обмены ETH.

Примерно через две минуты операторы узлов прекратили подписывать исходящие транзакции в этой сети, чтобы средства больше не уходили из хранилищ. Затем из предосторожности они приостановили и остальные блокчейны.

В THORChain сообщили, что пользователь добровольно вернул лишние 10 ETH и баланс восстановили.

On October 31, THORChain halted trading on several blockchains. An Ethereum block reorg caused THORChain to pay out 10 ETH that a vault never received. The automatic solvency checker caught the shortfall and halted ETH swaps. Within approximately two minutes, node operators halted ETH transaction signing, so no further ETH could leave the vaults. Node operators then halted all chains as a precaution so core developers could investigate. The 10 ETH has been returned by the user to make the vault solvent again. Breakdown of what happened and next steps: At 11:34 UTC Oct 31, Ethereum had a one-block reorg. A 10 ETH deposit to one of the vaults sat in the dropped block and never landed on the canonical chain. THORChain had already observed and credited that deposit. The swap missed its price limit and was refunded, so the vault paid out 10 ETH it never received. The sender’s real deposit was refunded as well. Every node detected the reorg. But the re-check that should have removed the deposit could not get a clear answer in time, so it was finalized. The solvency checker halted ETH swapping automatically, then three node votes halted all ETH outbound payments. All chains were then halted by three node votes as a precaution. Now that this is public knowledge, every time there is a block re-org on an external chain, a malicious actor could perform a new transaction with the same nonce and would be paid funds by the THORChain vaults. Note: Three node votes can trigger emergency halts to protect network solvency. However, that action can be reversed by four counter node votes, then five node votes can reverse the reversal, and so on, maintaining a balance between decentralization and rapid emergency intervention. Halting a chain does not give those nodes control of the assets. Core developers have been working on the necessary fixes. Nodes will decide to re-enable chains as they are deemed safe. Trading blockchains: AVAX, BASE, RUNE, XRPL Halted blockchains: ATOM, BCH, BSC, BTC, DOGE, ETH, LTC, SOL, TRON, ZEC

— THORChain (@THORChain) November 1, 2026

По последним данным протокола, обмены не работали в Bitcoin, Ethereum, Solana, Tron, BNB Chain, Bitcoin Cash, Dogecoin, Litecoin, Cosmos и Zcash.

Разработчики предупредили о возможности повторения ошибки

По словам разработчиков, все узлы заметили реорганизацию Ethereum, но система не успела получить однозначное подтверждение и провела операцию.

Команда предупредила, что злоумышленники могут воспользоваться этой ошибкой при будущих реорганизациях в других блокчейнах и получить выплаты за транзакции, которых нет в итоговой цепочке.

Специалисты готовят исправление. Операторы узлов возобновят обмены, когда сочтут каждую сеть безопасной.

Для экстренной остановки достаточно голосов трех операторов, а отменить ее могут еще четверо участников. Контроля над активами в хранилищах этот механизм им не дает, уточнили в THORChain.

Напомним, в сентябре THORChain отклонил просьбу биржи Bitget заблокировать средства, похищенные при взломе на $387,5 млн. Разработчики объяснили, что аварийная остановка нужна для защиты самого протокола, а не для выборочной блокировки транзакций отдельных пользователей.

Подписывайтесь на ForkLog в социальных сетях

Telegram (основной канал) Facebook X