Puntos clave:
THORChain perdió $10.7M de uno de sus cinco vaults en un exploit ocurrido el 15 de mayo, lo que llevó al protocolo cross-chain a detener las operaciones y aprobar un plan de recuperación.
"Los equipos de desarrollo y seguridad aún trabajan para restablecer la red tras el incidente del 15 de mayo", señaló THORChain en su última actualización, añadiendo que el enfoque está en restaurar la red de forma segura "sin apresurar ningún paso".
Los nodos se han actualizado a v3.18.1, un parche que restaura la capacidad de Rujira Network para gestionar cuentas de crédito. Se espera que la próxima versión, v3.19.0, pase a stagenet al final del día siguiente, aunque no se ha confirmado un cronograma exacto. El informe oficial del exploit indicó que un operador de nodo recién rotado ingresó a la red dos días antes del ataque y aprovechó una vulnerabilidad en el esquema de firma de umbral GG20 para drenar el vault afectado.
El plan de recuperación utiliza primero la liquidez propiedad del protocolo, y cualquier déficit restante se distribuye entre los tenedores de synth, sin acuñación de nuevos RUNE, sin venta de RUNE y sin dilución para los tenedores. Con la aprobación de ADR028, el nodo del atacante será completamente penalizado (slashed), mientras que los nodos inocentes del mismo vault serán protegidos. Los RUNE recuperados se emparejarán con los activos recuperados del vault afectado, y cualquier excedente será quemado.
Recompensa por el hacker y auditoría de seguridad
La ventana de recompensa ya está activa, brindando al atacante la oportunidad de devolver parte de los fondos robados. THORChain indicó que las cifras finales de pérdidas se compartirán más adelante. El protocolo también movió tss-lib a código cerrado por unas semanas, dando tiempo a THORSec para completar una auditoría de seguridad integral sin exponer las labores de remediación en curso. El repositorio se reabrirá una vez finalizada la auditoría.
El exploit atrajo la atención cuando el investigador de blockchain ZachXBT advirtió que las pérdidas podrían superar los $10M entre Bitcoin, Ethereum, BSC y Base. RUNE cayó bruscamente tras la advertencia, mientras los usuarios esperaban información más clara. Las estimaciones iniciales situaron la pérdida por encima de los $7.4M antes de que un seguimiento actualizado apuntara a al menos $10M sustraídos.
El proceso de reinicio conlleva ahora dos pruebas. La primera es técnica: los desarrolladores deben confirmar que las versiones parcheadas pueden soportar operaciones seguras de la red. La segunda es financiera: el protocolo debe finalizar la cobertura de pérdidas, los términos de la recompensa y las cifras de recuperación sin crear nueva oferta de RUNE.
Este artículo es solo para fines informativos y no constituye asesoramiento de inversión.
