THORChain vermarktet seine Ähnlichkeit mit dezentralen Layer-1-Ketten wie Bitcoin und Ethereum laut einer Einschätzung der Blockchain-Sicherheitsfirma GoPlus Security nicht zurecht. In einem Beitrag auf X forderte das Unternehmen das Protokoll auf, keine Kriminellen zu ermöglichen oder die Branche zu gefährden, nur um Swap-Gebühren an gestohlenen Geldern zu verdienen. Zur Verwahrung argumentierte GoPlus, dass TSS-Tresore nicht mit dem Konsens auf Basisebene gleichzusetzen seien: Bei Bitcoin und Ethereum kontrollieren Nutzer die Vermögenswerte mit ihren eigenen Schlüsseln, und Miner oder Validatoren halten niemals Gelder. Bei THORChain hingegen muss jeder Abfluss aktiv von der aktuellen aktiven Menge über eine GG20-TSS-Threshold-Signatur erzeugt werden, während Swap-Gelder in einem gemeinsam kontrollierten Tresor liegen. Das Freigeben gestohlener Gelder sei, so das Unternehmen, ein aktives Signiereignis und nicht „neutrales Ordering, das wir nicht stoppen können“, und eine verteilte, zentralisierte Verwahrung sei keine Dezentralisierung.

GoPlus sagte außerdem, dass THORChain über einen kleinen Validator-Set verfügt, der koordinieren kann: THORNodes binden RUNE, um beizutreten; der aktive Satz ist auf knapp 100 begrenzt (skalierbar auf 250+), mit Fluktuation ungefähr alle drei Tage, und die Knoten koordinieren in Echtzeit über einen Dev-Discord-Kanal mittels anonymer Relays und Abstimmungen — also eine Organisation mit Kommunikationskanal, Abstimmungsprozess und Ausführungstools, im Unterschied zu den weltweit anonymen Sets von Bitcoin und Ethereum. Intervention sei demnach so konzipiert, mit Runbooks und Präzedenzfällen: Ein einzelner Knoten kann das Netzwerk per „make pause“ anhalten (720 Blöcke pro Auslöser, stapelbar), unter dem Slogan „Halt Earn, Halt Often!“; Knotenabstimmungen können das ausgehende Signieren auf einer einzelnen Chain anhalten, und Governance per Mimir ermöglicht es den Knoten, live abzustimmen, um Parameter zu ändern oder Handel und Signieren zu stoppen. Als THORChain selbst im Mai 2026 ausgehöhlt wurde, pausierte es und führte eine kontrollierte Sperrung durch, um weitere Bewegungen zu stoppen.

Untätigkeit zahlt sich aus, so GoPlus. Im Bybit-Fall wusch der Angreifer alle 499.000 ETH in 10 Tagen, größtenteils über THORChain in BTC, was etwa 5,9 Milliarden US-Dollar an Handelsvolumen und rund 5,5 Millionen US-Dollar an Gebühren erzeugte. Im Bitget-Fall sind ungefähr 101,5 BTC (≈ 8,5 Millionen US-Dollar) bereits über THORChain abgeflossen; außerdem sind etwa 27,63 Millionen XRP (≈ 43 Millionen US-Dollar) während des Swaps in Richtung BTC unterwegs, was eine mögliche Gebührenerhebung in der Größenordnung von Hunderttausenden nach sich ziehen könnte. Im Februar 2025 stimmten Validatoren dafür, DPRK-verbundene Mittel abzufangen, gingen dann jedoch wieder zurück; anschließend verließ der zentrale Mitwirkende Pluto, der den Abfangprozess vorangetrieben hatte, das Projekt. GoPlus sagte, eine pro Chain erfolgende Sperrung oder eine ausgehende Ablehnung von FBI- und OFAC-zugeordneten nordkoreanischen Adressen passe in den „funds-at-risk“-Notfallrahmen von THORChain; daraus folgerte das Unternehmen, dass das Protokoll die Arbeit erledigen sollte, statt die Branche entlang der Gebührenlinie einem Risiko auszusetzen.