在 Thorchain (RUNE) 因遭遇一場造成 1,080 萬美元損失的多鏈攻擊而暫停所有網路活動一天後，基金會啟動了一個 1,000 萬美元的賠償入口，開始向已驗證身分的受害者返還資金。
這次攻擊從 Bitcoin (BTC)、Ethereum (ETH)、BNB Chain (BNB) 和 Base 上的資金中進行掏空，共影響 12,847 個錢包。
THORChain 貢獻者如今 認為，這起攻擊可能源自驗證者集合內部。在事件更新中，團隊表示，證據指向一個新輪替加入的節點，可能與此次攻擊有關。調查人員懷疑，攻擊者利用 THORChain GG20 閾值簽章機制（Threshold Signature Scheme）實作上的缺陷，逐步洩露足夠的金庫金鑰材料，得以重建私鑰並授權未經許可的交易。
協議表示，目前的復原討論包括對受影響的驗證者質押保證金進行削減（slashing），並動用協議自有流動性（Protocol-Owned Liquidity）的儲備來吸收損失。雖然在暫停期結束後，RUNE 轉帳可能會恢復，但交易、流動性池操作及其他敏感行為將持續暫停，直到網路最終敲定更廣泛的補救方案。
攻擊是如何發生的
此次攻擊鎖定的是 Thorchain 的跨鏈流動性路由層。Thorchain 作為一個去中心化的跨鏈兌換協議，允許使用者在無需包裝代幣或跨鏈橋的情況下，直接在原生資產之間進行兌換，包括 BTC、ETH 和 BNB。
協議會在每條支援的鏈上，以網路控制的金庫持有流動性。一名攻擊者發現路由邏輯中的漏洞，並同時自四條網路上的金庫提取資金。正是這種多鏈並行攻擊的特性，將總損失推高至 1,000 萬美元以上，而非由單一鏈承擔全部損害。
Thorchain 的營運方在偵測到異常資金流出後，隨即暫停所有交易。這一行動防止進一步被利用，但也在調查期間凍結了正常使用者的資金。
延伸閱讀: Dogecoin Pushes At $0.11 Resistance As $3B Volume Tests Recovery
賠償入口
Thorchain 基金會宣布啟動 1,000 萬美元賠償入口，涵蓋四條鏈上受影響的 12,847 個錢包。受害者必須先驗證錢包所有權，申請才會被處理。透過入口申請，而非直接空投的方式，有助於降低詐欺性申請的風險，並讓團隊可以將鏈上數據與此次攻擊中具體涉及的交易簽章進行交叉比對。
這 1,000 萬美元的池子並未完全覆蓋遭竊的 1,080 萬美元，仍有 80 萬美元缺口尚未公開說明。基金會尚未確認是否會再從金庫撥款、未來代幣銷售，或透過持續追討攻擊者錢包資金的方式來補上差額。
延伸閱讀: OpenAI Lets US Users Plug ChatGPT Into Bank Accounts: What Can Go Wrong?
背景
Thorchain 過去就有被攻擊的歷史。該協議在 2021 年夏季遭遇兩起重大攻擊，一次約損失 500 萬美元，另一次約 800 萬美元，兩者皆被歸因於 Bifrost 模組的漏洞，該模組負責 Thorchain 核心網路與外部鏈之間的溝通。
當時，團隊曾暫停網路並動用社群資金來填補損失，建立了使用金庫資源補償受害者的先例。2021 年的作法與基金會目前採取的路徑相呼應。
在那幾起事件之後的數年間，Thorchain 進行了多次深入的安全審計，並以重新設計的金庫架構重新上線。這次 2026 年的攻擊顯示，即便經過多輪審計，跨鏈路由仍是去中心化金融安全中最棘手的問題之一。
延伸閱讀: Why A $322B Stablecoin Pile Hasn't Triggered The Crypto Rally Bulls Expected
跨鏈 DeFi 中的協議風險
與單鏈協議相比，Thorchain 的架構本質上更複雜。每增加一條支援的區塊鏈，就會擴大其攻擊面。目前該協議支援逾十條鏈。每一次整合都需要自訂的金庫邏輯與一個 Bifrost 連接器。
若任何一個連接器存在缺陷，而路由層又無法妥善隔離損害，就可能暴露所有已連接金庫的資產餘額。這是原生跨鏈設計的核心取捨。舊有協議常用的包裝代幣橋，將各鏈特有的風險集中到橋合約本身；Thorchain 的原生方案則消除了包裝代幣風險，但把路由風險集中在自身程式碼之中。
安全研究人員指出，任何跨鏈協議若處理超過 5 億美元的總鎖倉價值（TVL），就需要持續性的對抗性測試，而不只是定期的第三方審計。在暫停前，Thorchain 的 TVL 已落入這一風險等級。
延伸閱讀: BNB Chain Pulls Ahead In 2026 RWA Race With 567% Holder Jump
接下來會怎麼發展
網路暫停將持續，直到基金會確認漏洞已被修補為止，目前尚未公布恢復時間表。賠償入口會與安全審查同步進行。一旦修補方案通過至少兩家獨立審計機構的驗證，RUNE 質押者之間的治理投票，很可能將決定交易何時恢復。
這一過程可能需時數天到數週，端視修補的複雜程度而定。受影響使用者應持續關注 Thorchain 官方管道，以取得賠償入口的使用說明與申請截止時間。
下一步閱讀: Ledger CTO Flags MPC Risk After THORChain's $10.8M Vault Hit