انتظر عقدة جديدة أسبوعين. ثم استولت على 10.7 مليون دولار من THORChain

** قام مشغل عقدة متمردة بتجفيف 10.7 مليون دولار من THORChain في 15 مايو عبر ثغرة GG20. إليك الجدول الزمني الكامل، والاستجابة الأمنية، وما هو القادم.**

انضم شخص ما إلى خادم مطوري THORChain على Discord في 1 مايو تحت اسم المستخدم Dinosauruss. كان الحساب جديدًا. كانت الأسئلة محددة — كيف يتم إدخال عقدة في الشبكة، وكم من الوقت يستغرق ذلك. كانت فترة التغيير المعتادة التي تستغرق ثلاثة أيام قد تأخرت بالفعل لأسباب غير ذات صلة، مما استلزم الانتظار.

وفقًا لتقرير استغلال THORChain رقم 1، المنشور في 20 مايو، دخل عنوان عقدة المهاجم (n84q) أخيرًا في مجموعة المصادقين النشطين في 13 مايو. حوالي 635,000 RUNE عبر عنواني رهن. تم تعيينها عشوائيًا لأحد خمسة خزائن، مثل أي مشغل آخر.

العقدة التي دخلت ولم تغادر أبدًا

لمدة يومين، شاركت العقدة في مراسم التوقيع الروتينية لـ GG20. لم يظهر أي شيء غير طبيعي. GG20، أو مخطط التوقيع الحدي جينارو-جولدفيدر 2020، هو نظام التوقيع الحدي الذي تستخدمه THORChain لتوزيع السيطرة على مفتاح الخزنة عبر مشغلين مستقلين. لا تمتلك عقدة واحدة كامل المفتاح الخاص — تحت الظروف العادية.

غير أن العيب غير ذلك. من خلال تسرب تدريجي لمواد المفتاح عبر جولات توقيع متعددة، يُقال إن المهاجم أعاد بناء المفتاح الخاص الكامل للخزنة. عندما اكتمل البناء، تم توقيع المعاملات الصادرة وبثها مباشرة، خارج مراسم GG20 تمامًا.

اكتشفت أداة التحقق من السيولة التفاعلية هذا الانحراف خلال دقائق. وكشفت أن الرصيد المتوقع تجاوز الرصيد الفعلي على السلسلة بأكثر من 1% عبر عدة سلاسل، مما أدى إلى توقفات تلقائية على ETH، AVAX، BSC، BASE، DOGE، و GAIA بدون تدخل بشري. كانت الأموال، تقريبًا $10M وفقًا للتقدير الأولي، قد تحركت بالفعل.

أضاء Discord قبل أن ترد الاستجابة الرسمية

مع توقف نشاط الشبكة، أبلغ عضو المجتمع عن معاملات غير معتادة: إرسال متعدد من موجه TC إلى عنوان إيثريوم بدون ملاحظة. أصبح ذلك المنشور أول إنذار يدوي من قبل الإنسان. حذر ZachXBT، على X، المجتمع من أن THORChain قد يكون فقد أكثر من $10M عبر بيتكوين، إيثريوم، BSC، وBase.

كانت العقدة xuuu أول من وضع توقفًا يدويًا لمدة 720 كتلة. وضع آخرون توقفات أكثر بسرعة متتالية. تم تصميم نظام حوكمة THORChain لهذا بالضبط: عقدة واحدة لا يمكنها قفل الشبكة إلى الأبد، لكن عدة عقد مستقلة تتصرف بسرعة يمكنها الحفاظ على توقف كافٍ للتحقيق. في 15 مايو، تراوحت بين 18 إلى 20 عقدة في تكديس توقفات في وقت واحد.

تبع ذلك تصويت رسمي على حوكمة Mimir عبر Discord. تم استيفاء عتبة الثلاث أصوات للمعلمات التشغيلية. تم تفعيل HALTTRADING عند الكتلة 26183438. HALTSIGNING عند الكتلة 26183439. HALTCHAINGLOBAL عند الكتلة 26183590. HALTCHURNING عند الكتلة 26183849 — الأخير تحديدًا لمنع العقدة الخبيثة من الخروج من الشبكة.

تم قفل الشبكة بأكملها خلال حوالي ساعتين من رفع المجتمع الإنذار.

ما وجدته التحقيقات، وما أخفته

أول بيان علني من فريق التطوير جاء في 11:01 من 15 مايو، قدر الخسائر بـ7.4 مليون دولار وذكر ثلاثة اتجاهات قيد التحقيق: ثغرة GG20، اختراق البنية التحتية، وغيرها. طُلب من مشغلي العقد مراجعة البنية التحتية وتقديم سجلات Bifrost.

بحلول الساعة 19:10 من نفس اليوم، أصبح الصورة أوضح. ربطت الأدلة الجنائية على السلسلة عنوان العقدة الخبيثة thor16ucjv3v695mq283me7esh0wdhajjalengcn84q بالعناوين على إيثريوم التي تلقت الأموال المسروقة. جاء رقم الخسارة المعدل حوالي 10.7 مليون دولار. كانت التنسيق مع Outrider Analytics والسلطات القانونية قد بدأ بالفعل، وفقًا للتقرير الرسمي.

شهد مشهد أمان التمويل اللامركزي في 2026 خسائر تجاوزت $620M حتى أبريل فقط. أضاف حادث THORChain مزيدًا من الوزن للمخاوف حول ثغرات الطبقة التشفيرية في البنية التحتية عبر السلاسل.

تم إصدار التصحيح، وما زال التعافي مفتوحًا

في 16 مايو، أصدرت فريق التسويق تحذيرًا من عمليات احتيال. كانت مخططات التوزيع المجاني والاسترداد المزيفة تنتشر بالفعل عبر وسائل التواصل الاجتماعي. أكدت THORChain أنها لا تملك برنامج استرداد أو توزيع مجاني نشط.

بحلول 18 مايو، كان الإصدار v3.18.1 على وشك الإصدار. قال فريق المطورين إنه لديه فهم قوي للهجوم لكنه سيحتفظ بالتفاصيل التقنية حتى يتمكن مشاريع أخرى تستخدم نفس تنفيذ GG20 من التنبيه بشكل هادئ وتصحيح أنظمتها. طُلب من جميع مشغلي العقد تقليل حجم حاويات Bifrost قبل الإصدار.

مسار التعافي الكامل يعتمد على حوكمة المجتمع. ستحدد ADR-028، سجل قرار الهندسة المعمارية المفتوح للمناقشة حاليًا، كيفية التعامل مع الأموال المفقودة. تشمل الخيارات قيد النقاش تقليل الرهانات وسحب السيولة المملوكة للبروتوكول. من المتوقع تنفيذ النهج المختار في الإصدار v3.19.

كانت THORChain قد حددت بالفعل DKLS، وهو مخطط توقيع حدي أكثر حداثة، كهدف تشفير طويل الأمد لها. تم التعاقد مع Silence Labs في نوفمبر 2025 لبناء تنفيذ مخصص لـ DKLS مع إمكانية إيقاف قابل للتحديد. كان الهدف هو الربع الأول / الربع الثاني من 2026. بقي GG20 في الإنتاج في الوقت الحالي. وصل المهاجم في مايو.