cointelegraph.es
THORChain dijo que un operador de nodo malicioso explotó una vulnerabilidad en su sistema de firmas umbral GG20 para drenar alrededor de USD 10,7 millones de una de las bóvedas del protocolo.
El esquema de firmas umbral GG20 se utiliza para proteger las bóvedas de THORChain dividiendo el control de claves entre múltiples operadores de nodos, lo que significa que normalmente ningún nodo posee la clave privada completa.
La vulnerabilidad permitió al operador de nodo malicioso reconstruir una clave privada completa de una bóveda mediante una “filtración progresiva de material de claves”, dijo el protocolo en un informe post-mortem publicado el miércoles.
THORChain afirmó que sus verificaciones automáticas de solvencia se activaron en cuestión de minutos y detuvieron la firma y el trading en múltiples cadenas sin intervención humana. Posteriormente, los operadores de nodos coordinaron vía Discord una paralización total de la red dentro de las dos horas siguientes y desplegaron un parche para corregir la vulnerabilidad.
El informe post-mortem muestra que las verificaciones automáticas de solvencia del protocolo funcionaron y evitaron que el explotador drenara más fondos. El informe llega una semana después de que el investigador blockchain ZachXBT alertara por primera vez sobre el exploit de USD 10 millones, poco antes de que THORChain anunciara una suspensión de toda firma y trading.
El incidente se suma al resurgimiento de exploits cripto, que robaron más de USD 634 millones en abril, según datos de DefiLlama.
Cronología del ataque de THORChain por valor de 10 millones de dólares. Fuente: THORChain
THORChain evalúa una vía de recuperación sin ventas de $RUNE
THORChain dijo el viernes que la vía de recuperación tras el exploit será determinada mediante consenso de la comunidad y la propuesta de gobernanza publicada ADR-028, con las votaciones actualmente abiertas para los operadores de nodos.
La propuesta haría que THORChain absorbiera primero las pérdidas mediante liquidez propiedad del protocolo y distribuyera el resto entre los holders de synths. Esto agotaría la liquidez propiedad del protocolo, pero redirigiría una parte de los ingresos del protocolo para reponerla con el tiempo, sin emitir ni vender tokens THORChain ($RUNE).
Propuesta comunitaria ADR-028 para la recuperación tras el exploit de USD 10 millones. Fuente: Gitlab
THORChain también ofreció una recompensa de recuperación por la devolución de los fondos robados y dijo que castigaría al nodo malicioso del atacante mientras protegería a los nodos inocentes que fueron colocados en la misma bóveda que el explotador.
La ADR-028 propone mantener el framework TSS GG20 existente en una versión parcheada y mejorada, y señaló que el trading se reanudará solo después de que la vulnerabilidad sea corregida, generando reacciones mixtas entre observadores de la industria cripto.
El analista seudónimo de proyectos cripto Bird dijo que la vulnerabilidad inicial sugiere que la pila de firmas TSS GG20 tiene una “falla en la generación de aleatoriedad o en el aislamiento local de firmas”, aunque elogió la protección automática de THORChain por limitar el daño causado por el exploit.
Otros observadores de la industria fueron más críticos con la decisión. “Mi modelo mental es que GG20 tiene muchas suposiciones frágiles. Puedes seguir parchándolo, pero siempre será una especie de caja negra”, escribió el inversor cripto JP en una publicación en X el miércoles.
$RUNE/USD, gráfico de 1 semana. Fuente: CoinMarketCap
El precio del token $RUNE cayó un 15,5% en la semana posterior al exploit, pero registró una recuperación del 4% en las 24 horas previas a las 11:00 a. m. UTC del viernes, según datos de CoinMarketCap.
Aclaración: La información y/u opiniones emitidas en este artículo no representan necesariamente los puntos de vista o la línea editorial de Cointelegraph. La información aquí expuesta no debe ser tomada como consejo financiero o recomendación de inversión. Toda inversión y movimiento comercial implican riesgos y es responsabilidad de cada persona hacer su debida investigación antes de tomar una decisión de inversión.