THORChain doznał kolejnego poważnego ciosu, tracąc 10,7 mln USD ze swoich skarbnic z powodu krytycznej luki w schemacie podpisu progowego GG20. Złośliwy operator węzła wykorzystał ten błąd, aby odtworzyć pełny klucz prywatny, uzyskując nieautoryzowany dostęp do funduszy sieci. Jest to bezpośredni cios w podstawowy model bezpieczeństwa protokołu, który opiera się na zdecentralizowanych operatorach węzłów w celu zabezpieczenia aktywów międzyłańcuchowych.
Wektor ataku dotyczył protokołu wielostronnego obliczania (MPC), którego THORChain używa do zarządzania swoimi skarbnicami. Uruchamiając złośliwy węzeł walidatora, atakujący manipulował procesem generowania klucza. Zamiast utrzymywać udziały klucza prywatnego rozproszone i bezpieczne wśród wielu niezależnych stron, luka GG20 pozwoliła temu pojedynczemu złośliwemu aktorowi na złożenie klucza głównego. Po skompilowaniu klucza opróżnienie skarbca było trywialne. Było to czyste wykonanie błędu kryptograficznego, a nie prosty błąd inteligentnego kontraktu.
Ten exploit ponownie wzbudza obawy o bezpieczeństwo mostów, które pozostają główną luką w zdecentralizowanych finansach. Natywny token RUNE spadł o 6,5% w ciągu kilku godzin od ujawnienia, gdy dostawcy płynności gorączkowo oceniali swoje narażenie. Traderzy natychmiast wycofali płynność z aktywnych pul, obawiając się dalszego rozprzestrzeniania się problemu. Incydent podkreśla systemowe ryzyko polegania na złożonych, zewnętrznych bibliotekach kryptograficznych bez ciągłych, rygorystycznych audytów.
Deweloperzy wstrzymali sieć, aby zapobiec dalszemu opróżnianiu, i pracują nad awaryjną łatką, która zastąpi skompromitowaną implementację GG20. Zespół rdzeniowy stwierdził, że planuje migrację do bardziej solidnego schematu podpisu progowego, być może GG21 lub niestandardowej alternatywy opartej na FROST.
Traderzy powinni śledzić oficjalne kanały deweloperów THORChain w celu ogłoszenia ponownego uruchomienia sieci i wdrożenia nowej łatki kryptograficznej. Kluczowym poziomem do monitorowania dla RUNE jest wsparcie na poziomie 5,20 USD, które historycznie działało jako podłoga podczas poprzednich przerw w działaniu protokołu. Wszelkie opóźnienia w migracji lub dalsze ujawnienia luk prawdopodobnie wywołają kolejną falę likwidacji.
THORChain: luka na 10,7 mln USD przez błąd GG20
THORChain stracił 10,7 mln USD z powodu luki w zabezpieczeniach GG20, która pozwoliła złośliwemu węzłowi na odtworzenie klucza prywatnego do jednej z jego skarbnic.