Sehari setelah Thorchain (RUNE) menghentikan seluruh aktivitas jaringan setelah mengalami $10.8M multichain exploit, yayasan meluncurkan portal kompensasi senilai $10 juta untuk mulai mengembalikan dana kepada korban yang telah terverifikasi.
Peretasan tersebut menguras dana di Bitcoin (BTC), Ethereum (ETH), BNB Chain (BNB), dan Base, memengaruhi 12.847 wallet.
Kontributor THORChain kini believe eksploit tersebut mungkin berasal dari dalam set validator itu sendiri. Dalam pembaruan insiden, tim mengatakan bukti mengarah pada node yang baru churn dan berpotensi terkait dengan serangan. Penyelidik menduga penyerang mengeksploitasi kelemahan dalam implementasi skema GG20 Threshold Signature Scheme milik THORChain, secara bertahap membocorkan cukup material kunci vault untuk merekonstruksi private key dan mengotorisasi transaksi tidak sah.
Protokol mengatakan diskusi pemulihan kini mencakup slashing bond validator yang terdampak dan menggunakan cadangan Protocol-Owned Liquidity untuk menyerap kerugian. Sementara transfer RUNE dapat dilanjutkan setelah jeda sementara berakhir, aktivitas trading, aksi di liquidity pool, dan operasi sensitif lain akan tetap dihentikan sampai jaringan merampungkan rencana remediasi yang lebih luas.
Kronologi Eksploit
Serangan ini menargetkan lapisan routing likuiditas cross-chain Thorchain. Thorchain beroperasi sebagai protokol swap cross-chain terdesentralisasi. Protokol ini memungkinkan pengguna menukar aset native, termasuk BTC, ETH, dan BNB, tanpa wrapped token atau bridge.
Protokol menyimpan likuiditas di vault yang dikendalikan jaringan pada setiap chain yang didukung. Seorang penyerang mengidentifikasi kerentanan dalam logika routing dan mengekstrak dana dari vault di keempat jaringan secara bersamaan. Sifat multichain dari serangan inilah yang mendorong total kerugian melampaui ambang $10 juta. Tidak ada satu pun chain yang menanggung seluruh kerusakan.
Operator Thorchain menghentikan semua trading setelah mendeteksi arus keluar yang tidak normal. Penghentian ini mencegah eksploit lanjutan tetapi juga membekukan dana pengguna yang sah selama penyelidikan.
Also Read: Dogecoin Pushes At $0.11 Resistance As $3B Volume Tests Recovery
The Compensation Portal
Thorchain Foundation mengumumkan portal kompensasi $10 juta yang mencakup 12.847 wallet terdampak di empat chain tersebut. Korban harus memverifikasi kepemilikan wallet sebelum klaim diproses. Pendekatan portal, alih-alih airdrop langsung, mengurangi risiko klaim palsu dan memungkinkan tim mencocokkan data on-chain dengan tanda tangan transaksi spesifik yang terlibat dalam eksploit.
Pool $10 juta ini tidak menutupi seluruh $10,8 juta yang diekstrak. Masih ada selisih $800 ribu yang belum dijelaskan secara publik. Foundation belum mengonfirmasi apakah dana tambahan akan diambil dari treasury, dari penjualan token di masa depan, atau melalui upaya pemulihan yang sedang berlangsung terhadap wallet milik pelaku.
Also Read: OpenAI Lets US Users Plug ChatGPT Into Bank Accounts: What Can Go Wrong?
Latar Belakang
Thorchain memiliki rekam jejak terkait eksploit. Protokol ini mengalami dua serangan besar pada musim panas 2021, masing-masing sekitar $5 juta dan sekitar $8 juta. Keduanya dikaitkan dengan kerentanan di modul Bifrost, yang mengelola komunikasi antara jaringan inti Thorchain dan chain eksternal.
Saat itu, tim menghentikan jaringan dan mengeluarkan dana komunitas untuk menutup kerugian, membentuk preseden penggunaan sumber daya treasury untuk kompensasi korban. Pola tahun 2021 itu mencerminkan apa yang dilakukan Foundation saat ini.
Dalam tahun-tahun setelah insiden tersebut, Thorchain menjalani audit keamanan ekstensif dan diluncurkan kembali dengan arsitektur vault yang direvisi. Eksploit 2026 ini menunjukkan bahwa routing cross-chain tetap menjadi salah satu masalah tersulit dalam keamanan keuangan terdesentralisasi, bahkan setelah beberapa siklus audit.
Also Read: Why A $322B Stablecoin Pile Hasn't Triggered The Crypto Rally Bulls Expected
Risiko Protokol di DeFi Cross-Chain
Arsitektur Thorchain secara inheren lebih kompleks dibanding protokol single-chain. Setiap blockchain tambahan yang didukung meningkatkan permukaan serangan. Protokol ini saat ini mendukung lebih dari selusin chain. Setiap integrasi membutuhkan logika vault khusus dan konektor Bifrost.
Cacat di salah satu konektor dapat mengekspos seluruh saldo vault yang terhubung jika lapisan routing gagal mengisolasi kerusakan. Inilah trade-off inti dalam desain cross-chain native. Bridge wrapped-token seperti yang digunakan protokol lama memindahkan risiko spesifik chain ke kontrak bridge itu sendiri. Pendekatan native Thorchain menghilangkan risiko wrapped token tetapi memusatkan risiko routing di basis kodenya sendiri.
Peneliti keamanan mencatat bahwa protokol cross-chain yang memproses lebih dari $500 juta total value locked memerlukan pengujian adversarial berkelanjutan, bukan sekadar audit pihak ketiga berkala. TVL Thorchain menempatkannya dalam kategori itu sebelum penghentian.
Also Read: BNB Chain Pulls Ahead In 2026 RWA Race With 567% Holder Jump
Langkah Selanjutnya
Penghentian jaringan akan tetap berlaku hingga Foundation memastikan kerentanan telah ditambal. Garis waktu untuk restart belum dipublikasikan. Portal kompensasi akan berjalan paralel dengan tinjauan keamanan. Setelah patch diverifikasi oleh setidaknya dua auditor independen, voting tata kelola di antara staker RUNE kemungkinan akan menentukan kapan trading dilanjutkan.
Proses ini dapat memakan waktu beberapa hari hingga beberapa minggu bergantung pada kompleksitas perbaikan. Pengguna yang terdampak harus memantau kanal resmi Thorchain untuk instruksi akses portal dan tenggat pengajuan klaim.
Read Next: Ledger CTO Flags MPC Risk After THORChain's $10.8M Vault Hit