Sehari setelah Thorchain (RUNE) menghentikan semua aktivitas jaringan setelah mengalami sebuah $10.8M multichain exploit, yayasan meluncurkan portal kompensasi senilai $10 juta untuk mulai mengembalikan dana kepada korban yang terverifikasi.
Pelanggaran tersebut menguras dana di Bitcoin (BTC), Ethereum (ETH), BNB Chain (BNB), dan Base, memengaruhi 12.847 dompet.
Kontributor THORChain kini believe eksploitasi tersebut mungkin berasal dari dalam set validator itu sendiri. Dalam pembaruan insiden, tim mengatakan bukti mengarah pada sebuah node yang baru churn dan berpotensi terkait dengan serangan tersebut. Penyelidik menduga penyerang mengeksploitasi kelemahan dalam implementasi skema GG20 Threshold Signature THORChain, secara bertahap membocorkan cukup material kunci vault untuk merekonstruksi private key dan mengotorisasi transaksi tidak sah.
Protokol tersebut mengatakan diskusi pemulihan kini mencakup pemotongan (slashing) bond validator yang terdampak dan penggunaan cadangan Protocol-Owned Liquidity untuk menyerap kerugian. Sementara transfer RUNE dapat dilanjutkan setelah jeda sementara berakhir, perdagangan, aktivitas pool likuiditas, dan operasi sensitif lain akan tetap ditangguhkan sampai jaringan merampungkan rencana remediasi yang lebih luas.
Bagaimana Eksploitasi Terjadi
Serangan menargetkan lapisan routing likuiditas lintas-rantai Thorchain. Thorchain beroperasi sebagai protokol swap lintas-rantai terdesentralisasi. Protokol ini memungkinkan pengguna menukar aset native, termasuk BTC, ETH, dan BNB, tanpa token wrapped atau jembatan.
Protokol menyimpan likuiditas di vault yang dikendalikan jaringan pada tiap chain yang didukung. Seorang penyerang mengidentifikasi kerentanan dalam logika routing dan menarik dana dari vault di keempat jaringan sekaligus. Sifat multichain dari serangan inilah yang mendorong total kerugian melampaui ambang $10 juta. Tidak ada satu chain pun yang menanggung seluruh kerusakan.
Operator Thorchain menghentikan semua perdagangan setelah mendeteksi arus keluar yang tidak normal. Penghentian ini mencegah eksploitasi lebih lanjut tetapi juga membekukan dana pengguna yang sah selama investigasi.
Also Read: Dogecoin Pushes At $0.11 Resistance As $3B Volume Tests Recovery
Portal Kompensasi
Thorchain Foundation mengumumkan portal kompensasi $10 juta yang mencakup 12.847 dompet terdampak di empat chain tersebut. Korban harus memverifikasi kepemilikan dompet sebelum klaim diproses. Pendekatan portal, alih-alih airdrop langsung, mengurangi risiko klaim penipuan dan memungkinkan tim mencocokkan data on-chain dengan tanda tangan transaksi spesifik yang terlibat dalam eksploitasi.
Pool $10 juta itu tidak menutupi seluruh $10,8 juta yang diekstrak. Masih ada selisih $800 ribu yang belum dijelaskan secara publik. Foundation belum mengonfirmasi apakah dana tambahan akan diambil dari kasnya, dari penjualan token di masa depan, atau melalui upaya pemulihan berkelanjutan yang menargetkan dompet pelaku.
Also Read: OpenAI Lets US Users Plug ChatGPT Into Bank Accounts: What Can Go Wrong?
Latar Belakang
Thorchain memiliki riwayat eksploitasi. Protokol ini mengalami dua serangan besar pada musim panas 2021, satu sekitar $5 juta dan satu lagi sekitar $8 juta. Keduanya dikaitkan dengan kerentanan di modul Bifrost, yang mengelola komunikasi antara jaringan inti Thorchain dan chain eksternal.
Saat itu, tim menghentikan jaringan dan mengeluarkan dana komunitas untuk menutup kerugian, membentuk preseden penggunaan sumber daya kas untuk kompensasi korban. Pola tahun 2021 itu mencerminkan apa yang dilakukan Foundation hari ini.
Dalam tahun-tahun setelah insiden tersebut, Thorchain menjalani audit keamanan ekstensif dan diluncurkan kembali dengan arsitektur vault yang direvisi. Eksploitasi 2026 ini menunjukkan bahwa routing lintas-rantai tetap menjadi salah satu masalah tersulit dalam keamanan keuangan terdesentralisasi, bahkan setelah beberapa putaran audit.
Also Read: Why A $322B Stablecoin Pile Hasn't Triggered The Crypto Rally Bulls Expected
Risiko Protokol di DeFi Lintas-Rantai
Arsitektur Thorchain secara inheren lebih kompleks daripada protokol satu chain. Setiap blockchain tambahan yang didukung akan memperluas permukaan serangan. Protokol ini saat ini mendukung lebih dari selusin chain. Setiap integrasi memerlukan logika vault khusus dan konektor Bifrost.
Cacat di salah satu konektor dapat mengekspos semua saldo vault yang terhubung jika lapisan routing gagal mengisolasi kerusakan. Ini adalah trade-off inti dalam desain lintas-rantai native. Jembatan token wrapped yang digunakan oleh protokol lama memindahkan risiko spesifik chain ke kontrak jembatan itu sendiri. Pendekatan native Thorchain menghilangkan risiko token wrapped tetapi memusatkan risiko routing di basis kodenya sendiri.
Peneliti keamanan mencatat bahwa protokol lintas-rantai yang memproses lebih dari $500 juta total value locked memerlukan pengujian adversarial berkelanjutan, bukan hanya audit pihak ketiga berkala. TVL Thorchain menempatkannya dalam kategori tersebut sebelum penghentian.
Also Read: BNB Chain Pulls Ahead In 2026 RWA Race With 567% Holder Jump
Apa Berikutnya
Penghentian jaringan akan tetap berlaku sampai Foundation mengonfirmasi bahwa kerentanan telah ditambal. Garis waktu untuk restart belum diterbitkan. Portal kompensasi akan berjalan paralel dengan tinjauan keamanan. Setelah patch diverifikasi oleh setidaknya dua auditor independen, kemungkinan akan ada pemungutan suara tata kelola di antara staker RUNE untuk menentukan kapan perdagangan dilanjutkan.
Proses ini bisa memakan waktu beberapa hari hingga beberapa minggu tergantung kompleksitas perbaikan. Pengguna terdampak sebaiknya memantau kanal resmi Thorchain untuk instruksi akses portal dan tenggat klaim.
Read Next: Ledger CTO Flags MPC Risk After THORChain's $10.8M Vault Hit