Thorchain 在 Multichain 攻击导致四个网络受损后开启 $10M 补偿门户

在 **Thorchain** (RUNE) 遭遇 $10.8M 多链漏洞利用并暂停所有网络活动的一天后，基金会推出了一个 $10M 的赔偿门户，开始向经过验证的受害者退还资金。

该漏洞窃取了 **Bitcoin** (BTC)、**Ethereum** (ETH)、**BNB Chain** (BNB) 和 **Base** 上的资金，影响了 12,847 个钱包。

THORChain 贡献者现在 认为 该漏洞可能源于验证者集内部。在一次事件更新中，团队表示证据指向一个可能与攻击有关的新加入节点。调查人员怀疑攻击者利用了 THORChain 的 GG20 Threshold Signature Scheme 实现中的缺陷，逐渐泄漏了足够的金库密钥材料，从而重构私钥并授权未经授权的交易。

该协议表示，恢复讨论现在包括罚没受影响的验证者保证金，并使用 Protocol-Owned Liquidity 储备来吸收损失。虽然 RUNE 转账可能会在临时暂停到期后恢复，但交易、流动性池操作和其他敏感操作将保持暂停，直到网络最终确定更广泛的补救计划。

漏洞利用是如何展开的

攻击针对的是 Thorchain 的跨链流动性路由层。Thorchain 作为一个去中心化的跨链交换协议运行。它允许用户在没有包装代币或桥接的情况下交换原生资产，包括 BTC、ETH 和 BNB。

该协议在每个支持的链上持有网络控制的金库流动性。攻击者发现了路由逻辑中的一个漏洞，并同时从所有四个网络上的金库中提取了资金。攻击的多链性质使得总损失超过了 $10M 的阈值。没有单一的链承担全部损失。

Thorchain 的运营商在检测到异常流出后暂停了所有交易。此次暂停防止了进一步的漏洞利用，但在调查期间也冻结了合法用户的资金。

另请阅读：Dogecoin 冲向 $0.11 阻力位，$3B 成交量考验复苏情况

赔偿门户

Thorchain 基金会宣布了 $10M 的赔偿门户，涵盖四个链上的 12,847 个受影响钱包。受害者必须在处理索赔之前验证钱包所有权。门户方法而非立即空投，降低了欺诈索赔的风险，并允许团队将链上数据与漏洞利用中涉及的特定交易签名进行交叉比对。

$10M 的资金池并未涵盖提取出的全部 $10.8M。仍有 $800K 的缺口未在公开场合得到解决。基金会尚未确认是否会从其国库、未来的代币销售中获取额外资金，或者通过针对攻击者钱包的持续恢复努力来获取资金。

另请阅读：OpenAI 允许美国用户将 ChatGPT 接入银行账户：会出什么问题？

背景

Thorchain 有过被利用的历史。该协议在 2021 年夏天遭受了两次重大攻击，一次损失约 $5M，另一次损失约 $8M。两者都归因于 Bifrost 模块中的漏洞，该模块管理 Thorchain 核心网络与外部链之间的通信。

当时，团队暂停了网络并发行社区资金来弥补损失，确立了使用国库资源进行受害者赔偿的先例。2021 年的这种模式与基金会今天的做法如出一辙。