THORChain hat nach einer fehlerhaften Auszahlung von zehn ETH den Handel über mehrere angebundene Netzwerke angehalten. Ursache war laut Protokoll eine Ethereum-Reorganisation am 31. Oktober, durch die ein Vault Geld erstattete, das er nie erhalten hatte.

Wie die doppelte Erstattung entstand

Die Reorganisation eines einzelnen Ethereum-Blocks ereignete sich um 11:34 Uhr UTC. In dem verworfenen Block lag eine Einzahlung über zehn ETH, die THORChain bereits erkannt und gutgeschrieben hatte. Auf der letztlich gültigen Ethereum-Chain wurde diese Einzahlung jedoch nicht verbucht.

Tipp der Redaktion: Trezor warnt: Diese Kunden sollen ihre Krypto-Guthaben sofort sichern

Der zugehörige Swap verfehlte sein Preislimit und wurde deshalb rückabgewickelt. Der Vault zahlte zehn ETH aus, obwohl ihm dieser Betrag fehlte. Auch die tatsächliche Einzahlung des Absenders wurde erstattet. Warum die Absicherung gegen solche Fälle versagte, erläuterte THORChain in seiner Mitteilung vom 1. November:

„Jeder Knoten erkannte die Reorganisation. Doch die erneute Prüfung, durch die die Einzahlung hätte entfernt werden sollen, konnte nicht rechtzeitig ein eindeutiges Ergebnis liefern, sodass die Einzahlung finalisiert wurde.“

Die automatische Solvenzprüfung erkannte anschließend die Unterdeckung und stoppte ETH-Swaps. Innerhalb von ungefähr zwei Minuten unterbanden die Knotenbetreiber auch das Signieren von ETH-Transaktionen. Drei Knotenstimmen stoppten sämtliche ausgehenden ETH-Zahlungen, anschließend wurden vorsorglich alle Chains angehalten.

Der Nutzer hat die zehn ETH inzwischen zurückgezahlt. Laut THORChain ist die Deckung des betroffenen Vaults damit wiederhergestellt.

Das technische Risiko bleibt davon getrennt bestehen. THORChain warnt, dass ein Angreifer bei einer Reorganisation auf einer externen Chain eine neue Transaktion mit derselben Nonce senden und dadurch eine Auszahlung aus den Vaults auslösen könnte. Die Kernentwickler arbeiten an Korrekturen.

Drei Knotenstimmen reichen für einen Notfallstopp. Vier Gegenstimmen können ihn aufheben, fünf Stimmen diese Aufhebung wiederum rückgängig machen. Nach Darstellung des Protokolls verbindet dies schnelle Eingriffe mit dezentraler Kontrolle. Zugriff auf die Vermögenswerte erhalten die beteiligten Knoten durch einen Stopp nicht.

Nach dem veröffentlichten Stand waren AVAX, BASE, RUNE und XRPL handelbar. Angehalten blieben ATOM, BCH, BSC, BTC, DOGE, ETH, LTC, SOL, TRON und ZEC. Über die Freigabe entscheiden die Knotenbetreiber, sobald sie die jeweilige Chain als sicher einstufen.

Parallel fordert das FBI Transaktionsblockaden

Unabhängig vom technischen Vorfall richtet sich eine FBI-Warnung zum Binance-Hack ausdrücklich auch an THORNode-Betreiber. Die Behörde macht Nordkorea für den Diebstahl von mehr als sechs Milliarden US-Dollar um den 29. Oktober verantwortlich und bezeichnet die Aktivität als „TraderTraitor“. Zum weiteren Geldfluss schreibt sie:

„Das FBI hat gemeinsam mit seinen Partnern beim USSS und IRS-CI beobachtet, dass die TraderTraitor-Akteure gestohlene Vermögenswerte überwiegend in Ethereum (ETH) umwandeln. Es wird erwartet, dass diese Vermögenswerte anschließend durch Umtausch über DeFi-Dienste und Soforttauschdienste weiter gewaschen werden, um sie auf weitere Geldwäschephasen vorzubereiten.“

Lesetipp: US-Wahl, Iran und Zinsen: Das wird für Bitcoin und Krypto in dieser Woche wichtig

Die Behörden fordern unter anderem THORNode- und RPC-Betreiber, DeFi-Dienste und Börsen auf, Transaktionen mit den identifizierten Adressen sowie daraus abgeleitete Transaktionen zu blockieren.

THORChain-Mitbegründer Chad Barraford verwies auf X dagegen auf die Rolle zentralisierter Börsen. Seiner Darstellung zufolge wollen Angreifer letztlich über solche Anbieter in US-Dollar wechseln. Diese verfügten über Identifizierungsdaten und Kontakte zu den Tätern und sollten mit Ermittlern zusammenarbeiten. Über die Informationslage der THORNodes schrieb er:

„THORNode-Betreiber verfügen über keinerlei Informationen, die nicht bereits öffentlich und in Echtzeit verfügbar sind. Gerichtliche Herausgabeanordnungen sind nicht erforderlich, ein Idealfall für Ermittlungen.“

Ob Transaktionen gezielt blockiert werden sollen, beantwortet diese Aussage nicht. Ein Zusammenhang zwischen der FBI-Aufforderung und dem Handelsstopp geht aus dem Material ebenfalls nicht hervor. Für die Wiederaufnahme des Handels nennt THORChain die technische Sicherheit der angebundenen Chains als Voraussetzung.