Der Neustart des THORChain-Netzwerks steht zur Abstimmung, da die Knotenbetreiber über ADR028 abstimmen

THORChain hat eine Abstimmung über die Governance der Knotenbetreiber eingeleitet, um den Wiederaufnahmebetrieb nach dem Sicherheitsvorfall vom 15. Mai zu ermöglichen, bei dem rund 10,7 Millionen Dollar aus einem einzigen Tresor abgezogen wurden.

Der Vorschlag mit der Bezeichnung ADR-028 legt dar, wie das Netzwerk die Verluste auffangen und den Betrieb wieder aufnehmen würde.

Welche Sicherheitslücken führten zum THORChain-Exploit?

Berichten zufolge hatte sich ein Angreifer zwei Tage vor dem Angriff als Knotenbetreiber in das Netzwerk eingeschlichen. Anschließend nutzte er eine Schwachstelle im GG20- Schwellenwertsignaturverfahren (TSS) von THORChain aus. Dieses kryptografische System verteilt die Kontrolle über den Tresorschlüssel auf mehrere unabhängigedent , sodass kein einzelner Betreiber jemals den vollständigen privaten Schlüssel besitzt.

Nur einer von fünf Tresoren war betroffen. Das Sicherheitsunternehmen PeckShieldAlert schätzte den Schaden auf rund 10 Millionen US-Dollar, aufgeteilt in 36,75 BTC (damals etwa 3 Millionen US-Dollar) und Vermögenswerte im Wert von ca. 7 Millionen US-Dollar auf Ethereum, BNB Chain und Base. THORChain bezifferte den Schaden nach dem Vorfalldent einer eigenen Analyse auf 10,7 Millionen US-Dollar.

Im Protokoll hieß es, der Angriff sei innerhalb weniger Minuten entdeckt worden und es seien Handelsstopps auf Kettenebene ausgelöst worden, wobei Knotenbetreiber über das Governance-System manuelle Staking-Pausen vorgenommen hätten, was innerhalb von etwa zwei Stunden nach dem Alarm zu einer vollständigen Abschaltung des Netzwerks geführt habe.

RUNE, der native Token von THORChain, fiel in den Tagen nach dem Datenleck um mehr als 21 %. Laut CoinMarketCap-Daten.

Was schlägt ADR-028 vor?

ADR-028 wurde von THORChain auf GitLab und zur Abstimmung für Node-Betreiber freigegeben. Im Beitrag des Protokolls auf X hieß es, der Wiederherstellungsplan sehe vor, dass THORChain „den Verlust zunächst durch protokolleigene Liquidität auffangen“ und der verbleibende Verlust auf die Synth-Inhaber verteilt werde.

Dies bedeutet, dass die dem Protokoll gehörende Liquidität auf Null reduziert wird, und THORChain erklärt, dass „die ADR vorschlägt, einen Teil der Systemeinnahmen umzuleiten, um sie im Laufe der Zeit wieder aufzufüllen.“

Es wurde mitgeteilt, dass GG20 gepatcht und aktualisiert wurde. Knoten, die zwar nicht mit dem Angreifer in Verbindung stehen, aber aufgrund ihrer Lage im selben Tresorraum von ihm betroffen sind, würden nicht geslasht. Außerdem wird vorgeschlagen, dem Angreifer 10 % der Belohnung als Rückzahlung anzubieten.

Auf GitLab gab ein Kommentator unter dem Benutzernamen sein Feedback zu dem Vorschlag und brachte dabei zwei Punkte zur Sprache.

Eine der Maßnahmen bestand darin, die Belohnung für Angreifer aus dem ADR zu entfernen und zu erklären, dass dies forensischen Untersuchungen und Strafverfolgungsbehörden obliegen sollte. Die zweite Maßnahme forderte eine dauerhafte Zuweisung von Systemeinnahmen für externe Sicherheitsaudits, die Überprüfung der TSS-Schicht durch Angreifer und ein finanziertes Bug-Bounty-Programm mit daran geknüpften Release-Bedingungen.

„Der Plan stellt zwar die Liquidität eines Tresors wieder her, bietet aber noch keine Vorkehrungen gegen ein erneutes Auftreten“, schrieb der Kommentator unter dem GitLab-Ausschnitt. „Es lohnt sich, die Ursache zusammen mit der Bilanz zu beheben.“

Die Spur des Angreifers

Das Blockchain-Analyseunternehmen Chainalysis veröffentlichte am 16. Mai On-Chain-Beweise, die den Angreifer mit Wallets in Verbindung bringen, die Wochen vor dem Diebstahl aufgeladen wurden. Das Unternehmen tracdie Bewegungen des Angreifers über Monero, Hyperliquid und THORChain selbst.

Eine Wallet zahlte Ende April XMR über eine Hyperliquid-Monero-Datenschutzbrücke ein, tauschte die daraus resultierende Position gegen USDC, hob die Gelder anschließend an Arbitrum ab und übertrug sie auf Ethereum. Laut Chainalysis leitete ein Vermittler dann 8 ETH an die Empfänger-Wallet des Angreifers weiter – nur 43 Minuten bevor die gestohlenen Gelder eintrafen.

Was wird nun mit THORChain geschehen? 

Die Abstimmung des Knotenbetreibers über ADR-028 wird darüber entscheiden, ob THORChain im Rahmen des vorgeschlagenen Wiederherstellungsrahmens neu gestartet wird oder ob weitere Überarbeitungen erforderlich sind. 

THORChain hatte bereits ein moderneres Signaturschema namens DKLS als langfristigen Ersatz für GG20dentund Silence Labs im November 2025 mit dem Bau einer kundenspezifischen Implementierung beauftragt, deren Auslieferung für das erste oder zweite Quartal 2026 geplant war, wie aus dem Exploit-Bericht hervorgeht.

Wenn Sie das hier lesen, sind Sie schon einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.