Die Aussetzung von Swaps im dezentralen THORChain-Protokoll verzögerte unbeabsichtigt die Geldwäsche eines beträchtlichen Betrags, der bei einem Binance-Hack im Umfang von 6,3 Milliarden US-Dollar gestohlen wurde, wie Analysten von Chainalysis anmerkten. Das Protokoll setzte den Betrieb auf zehn Blockchains aufgrund eines Fehlers bei der Reorganisation eines Ethereum-Blocks aus.
Binance-Hacker transferierten Gelder über THORChain
Am 31. Oktober brachte das US-amerikanische Federal Bureau of Investigation (FBI) den Angriff auf Binance mit der nordkoreanischen Gruppe TraderTraitor in Verbindung. Die Behörde veröffentlichte Hunderte Adressen der Angreifer und forderte Node-Betreiber von THORChain, DeFi-Protokolle und andere Kryptodienste dazu auf, Transaktionen mit diesen Adressen einzuschränken.
THORChain stoppte noch am selben Tag die Swaps, allerdings nicht als Reaktion auf den Aufruf des FBI.
Chainalysis zufolge betraf der Stopp alle Nutzer des Protokolls, darunter auch nordkoreanische Hacker, die gestohlene Vermögenswerte zwischen Blockchains transferierten. Das Unternehmen machte jedoch keine Angaben dazu, wie viele Gelder zurückgehalten werden konnten. Den Angreifern standen zudem weitere Möglichkeiten zur Verfügung, ihre Gelder abzuziehen.
Laut Schätzungen des Forschers unter dem Pseudonym SomaXBT zogen die Täter in den zwei Tagen nach dem Angriff rund 242 Millionen US-Dollar aus dem Tron-Netzwerk ab.
Rund 44 Millionen US-Dollar davon liefen über THORChain, 48 Millionen US-Dollar über Relay und 32,1 Millionen US-Dollar über Chainflip.
Fehler bei der ETH-Rückerstattung stoppte Swaps in 10 Netzwerken
Am 31. Oktober kam es im Ethereum-Netzwerk zu einer Reorganisation: Einer der bereits hinzugefügten Blöcke wurde durch einen anderen ersetzt, sodass die darin enthaltenen Transaktionen nicht mehr als bestätigt galten.
Darunter war eine Einzahlung von 10 ETH in den THORChain-Vault. Das Protokoll hatte sie bereits verbucht, obwohl diese Transaktion in der endgültigen Ethereum-Chain nicht mehr enthalten war.
Der Swap für diese Einzahlung hielt das vom Nutzer festgelegte Preislimit nicht ein, woraufhin THORChain eine Rückerstattung veranlasste. Dadurch zahlte das Protokoll 10 ETH aus, die es nicht erhalten hatte. Die ursprünglichen Gelder des Nutzers blieben ihm nach der Reorganisation ebenfalls erhalten.
Eine automatische Solvenzprüfung erkannte den Fehlbetrag und stoppte die ETH-Swaps selbstständig.
Etwa zwei Minuten später stellten die Node-Betreiber das Signieren ausgehender Transaktionen in diesem Netzwerk ein, damit keine weiteren Gelder aus den Vaults abfließen konnten. Anschließend setzten sie vorsichtshalber auch die übrigen Blockchains aus.
THORChain teilte mit, dass der Nutzer die überschüssigen 10 $ETH freiwillig zurückerstattet habe und der Kontostand wiederhergestellt worden sei.
Den neuesten Angaben des Protokolls zufolge waren Swaps in $BTC , Ethereum, Solana, $TRX , BNB Chain, Bitcoin Cash, Dogecoin, Litecoin, Cosmos und Zcash nicht verfügbar.
Entwickler warnen vor einer möglichen Wiederholung des Fehlers
Den Entwicklern zufolge erkannten alle Nodes die Reorganisation von Ethereum, doch das System erhielt nicht rechtzeitig eine eindeutige Bestätigung und führte die Transaktion aus.
Das Team warnte, dass Angreifer diesen Fehler bei künftigen Reorganisationen in anderen Blockchains ausnutzen und Auszahlungen für Transaktionen erhalten könnten, die nicht in der endgültigen Chain enthalten sind.
Die Experten arbeiten an einer Fehlerbehebung. Die Node-Betreiber werden die Swaps wieder aufnehmen, sobald sie jedes Netzwerk für sicher halten.
Für einen Notstopp reichen die Stimmen von drei Betreibern aus; aufheben können ihn weitere vier Beteiligte. Dieser Mechanismus gibt ihnen jedoch keine Kontrolle über die Vermögenswerte in den Vaults, erklärte THORChain.
Zur Erinnerung: Im September lehnte THORChain die Bitte der Börse Bitget ab, Gelder zu sperren, die bei einem Angriff im Umfang von 387,5 Millionen US-Dollar gestohlen worden waren. Die Entwickler erklärten, ein Notstopp diene dem Schutz des Protokolls selbst und nicht der gezielten Sperrung von Transaktionen einzelner Nutzer.