THORChain đã mở cuộc bỏ phiếu quản trị để quyết định lộ trình khôi phục sau vụ khai thác ngày 15/5 làm thất thoát khoảng 10,7 triệu USD từ một ví của giao thức.
Đề xuất ADR-028 nêu cách THORChain xử lý khoản lỗ và mở lại hoạt động. Quyết định của nhóm vận hành node sẽ ảnh hưởng trực tiếp đến cách mạng lưới phân bổ thiệt hại và khôi phục thanh khoản.
- Vụ tấn công ngày 15/5 khai thác lỗi trong cơ chế GG20 TSS và chỉ ảnh hưởng một trong năm ví.
- ADR-028 đề xuất để protocol-owned liquidity hấp thụ trước, phần còn lại phân bổ cho người nắm synth.
- RUNE đã giảm hơn 21% sau sự cố và hiện giao dịch quanh 0,44 USD.
Vụ khai thác của THORChain diễn ra như thế nào
Một tác nhân xấu được cho là đã gia nhập mạng lưới với vai trò node operator hai ngày trước khi tấn công và khai thác lỗi trong hệ thống chữ ký ngưỡng GG20 của THORChain. Hệ thống này phân tán quyền kiểm soát khóa ví giữa nhiều node độc lập để không có một bên nào giữ toàn bộ private key.
Chỉ một trong năm ví bị ảnh hưởng. PeckShieldAlert ước tính số tiền bị lấy đi vào khoảng 10 triệu USD, gồm 36,75 BTC, tương đương khoảng 3 triệu USD tại thời điểm đó, cùng khoảng 7 triệu USD tài sản trên Ethereum, BNB Chain và Base. THORChain sau đó cho biết con số nội bộ là 10,7 triệu USD.
Giao thức nói rằng sự cố được phát hiện trong vài phút và các giao dịch ở cấp chain đã bị dừng. Node operator sau đó kích hoạt tạm dừng thủ công thông qua hệ thống quản trị, đưa toàn mạng vào trạng thái khóa hoàn toàn trong khoảng hai giờ sau cảnh báo.
ADR-028 đề xuất cách xử lý khoản lỗ
ADR-028 là đề xuất được đưa ra để biểu quyết nhằm xác định cách THORChain phục hồi sau sự cố. Trọng tâm của phương án này là để protocol-owned liquidity hấp thụ khoản lỗ trước, phần còn lại mới được phân bổ sang người nắm synth.
Theo mô tả trong đề xuất, protocol-owned liquidity sẽ bị giảm về 0 và một phần doanh thu hệ thống sẽ được dùng để bổ sung lại theo thời gian. THORChain cũng cho biết GG20 đã được vá và nâng cấp.
Đề xuất còn nêu rằng các node không liên quan đến kẻ tấn công nhưng bị ảnh hưởng do nằm trong cùng một ví sẽ không bị slash. Ngoài ra, THORChain đưa ra phương án trả 10% tiền thưởng nếu kẻ tấn công hoàn trả số tiền đã lấy đi.
Phản hồi trên GitLab tập trung vào an ninh dài hạn
Một ý kiến phản hồi trên GitLab cho rằng phần tiền thưởng dành cho kẻ tấn công nên bị loại khỏi ADR và xử lý riêng qua điều tra pháp chứng, cũng như cơ quan thực thi pháp luật. Ý kiến này cho rằng kế hoạch hiện tại mới chỉ bù đắp thanh khoản cho một ví mà chưa giải quyết đủ nguy cơ tái diễn.
Phản hồi đó đề xuất dành một phần doanh thu hệ thống cho kiểm toán bảo mật bên ngoài, rà soát đối kháng ở tầng TSS và một chương trình bug bounty có ngân sách riêng. Theo người phản hồi, cần sửa cả nguyên nhân lẫn bảng cân đối thay vì chỉ vá hậu quả.
Dòng tiền của nghi phạm được theo dõi ra sao
Chainalysis đã công bố bằng chứng on-chain ngày 16/5, nối các ví liên quan đến số tiền được nạp từ nhiều tuần trước vụ trộm. Đơn vị này cho biết đã lần theo dòng di chuyển qua Monero, Hyperliquid và chính THORChain.
Theo mô tả của Chainalysis, một ví đã nạp XMR qua cầu riêng tư Hyperliquid-Monero vào cuối tháng 4, đổi sang USDC, rút về Arbitrum rồi chuyển sang Ethereum. Một trung gian sau đó chuyển tiếp 8 ETH vào ví nhận của nghi phạm chỉ 43 phút trước khi số tiền bị đánh cắp đi tới.
THORChain sẽ đi tiếp thế nào
Cuộc bỏ phiếu của node operator trên ADR-028 sẽ quyết định liệu THORChain khởi động lại theo khung phục hồi hiện tại hay phải sửa đổi thêm. Đây là bước then chốt để mạng lưới ổn định lại sau sự cố.
Trong báo cáo sau vụ khai thác, THORChain cũng xác định DKLS là cơ chế chữ ký thay thế dài hạn cho GG20 và đã làm việc với Silence Labs từ tháng 11/2025 để xây dựng bản triển khai riêng, với thời điểm bàn giao dự kiến vào quý 1 hoặc quý 2/2026.
Tổng kết
THORChain đang ở giai đoạn quyết định sau vụ khai thác làm thất thoát khoảng 10,7 triệu USD. Trọng tâm hiện nay là cách giao thức phân bổ thiệt hại, khôi phục thanh khoản và hoàn tất nâng cấp bảo mật để mở lại hoạt động.
