THORChain legt mit ADR028 "NoRunesMinted"-Plan zur Schadensregulierung nach 10,7-Mio.-Dollar-Exploit vor
THORChain hat nach einem Angriff vom 15. Mai einen Schaden von rund 10,7 Mio. US-Dollar gemeldet. Ausgelöst wurde der Vorfall durch einen bösartigen Node-Betreiber, der Schwachstellen im Threshold-Signature-Setup des Protokolls ausnutzte. Mit dem nun vorgelegten Recovery-Vorschlag ADR028 will THORChain die Verluste ausgleichen – ohne neue RUNE zu prägen oder zu verkaufen.
ADR028 sieht vor, dass zunächst "Protocol-Owned Liquidity" (POL) einspringt, also die eigenen Kapitalreserven des Protokolls in den Liquiditätspools. Reicht POL nicht aus, soll die verbleibende Lücke proportional auf Inhaber synthetischer Assets verteilt werden.
So lief der Angriff ab – und so wurde er gestoppt
Der Angreifer war ein neu in den Netzwerkbetrieb aufgenommenes Node-Mitglied, das erst zwei Tage vor dem Exploit in THORChain gechurnt worden war. In dieser kurzen Zeitspanne attackierte er das GG20 Threshold Signature Scheme (TSS), also das kryptografische Verfahren, mit dem THORChain Schlüssel für Vaults in seiner dezentralen Infrastruktur verwaltet.
Vereinfacht: Bei THORChain kontrollieren mehrere Node-Betreiber die Vault-Schlüssel gemeinschaftlich, damit keine einzelne Partei allein über die Mittel verfügen kann. Laut Bericht gelang es dem Angreifer, über Schwachstellen in diesem Mechanismus entscheidende private Vault-Schlüssel zu rekonstruieren und damit faktisch Zugriff auf die Treasury zu erhalten.
Nach Angaben des Protokolls erkannte ein automatisierter Solvenz-Checker die Unregelmäßigkeit innerhalb weniger Minuten. Trading- und Signing-Prozesse wurden gestoppt, die Node-Betreiber froren das Netzwerk in etwa zwei Stunden vollständig ein. Dadurch sei ein deutlich größerer Abfluss verhindert worden. Direkte Verluste bei Nutzervermögen oder bei Positionen von Liquiditätsanbietern habe es nicht gegeben.
Die schnelle Reaktion wurde über das Mimir-Governance-System ermöglicht, mit dem Node-Betreiber kritische Parameter kurzfristig anpassen können.
ADR028: Ausgleich über POL, Rest über Synth-Holder – ohne Verwässerung
Der Plan priorisiert POL als erste Absorptionsschicht. POL soll so viel wie möglich von den 10,7 Mio. US-Dollar abdecken, bevor andere Mechanismen greifen. Was POL nicht deckt, soll anteilig von Inhabern synthetischer Assets getragen werden.
Synthetische Assets sind innerhalb von THORChain emittierte Derivate, die Vermögenswerte wie Bitcoin oder Ethereum abbilden und in den Pools des Protokolls existieren. Entsprechend würde ein verbleibender Fehlbetrag als proportionaler "Haircut" auf diese Synth-Positionen wirken.
Kernpunkt des Vorschlags ist die ausdrückliche Selbstbindung, keine neuen RUNE zu minten. In DeFi wurden nach Hacks häufig inflationäre Maßnahmen genutzt, um Löcher zu stopfen – zulasten bestehender Tokenhalter. THORChain stellt sich gegen dieses Vorgehen und macht daraus eine Governance- wie auch Finanz-Ansage.
Zusätzlich hat das Protokoll eine Prämie für Whitehat-Hacker ausgelobt, die bei der Rückführung der entwendeten Mittel helfen. Parallel werden weitere Security-Patches umgesetzt, die gezielt die GG20-TSS-Schwachstellen adressieren; erste Zwischenmaßnahmen wurden kurz nach dem Vorfall ausgerollt.
Crosschain-Risiko bleibt strukturell hoch
Crosschain-Protokolle gelten als besonders risikoreich, weil sie Assets über mehrere Blockchains hinweg bewegen und dabei Schlüssel, Signaturen und Konsensmechanismen netzwerkübergreifend managen müssen. Jede zusätzliche Chain vergrößert die Angriffsfläche. Seit 2021 sind der Branche Milliarden durch Exploits verloren gegangen; Bridges und crosschain-nahe Infrastruktur zählen konstant zu den Hauptzielen.
Auch THORChain hatte in den Vorjahren Sicherheitsvorfälle, was den aktuellen Angriff eher als erneutes Kapitel einer wiederkehrenden Herausforderung erscheinen lässt. Die Eindämmung in rund zwei Stunden und die automatisierte Solvenzprüfung sind für ein dezentrales System zwar bemerkenswert. Dass ein Node-Betreiber binnen 48 Stunden nach Eintritt Vault-Schlüssel rekonstruieren konnte, wirft aber Fragen zur Onboarding-Sicherheit und zu den Annahmen im Churning-Prozess auf.
Relevanz für Investoren
Für RUNE-Investoren ist die No-Dilution-Zusage der entscheidende Punkt: Der Verlust soll nicht über Inflation sozialisiert werden, die Angebotsdynamik bleibt intakt. In einem Umfeld, in dem Token-Ökonomie nach Hacks oft kurzfristig verändert wird, kann eine so klare Festlegung Vertrauen stützen.
Entscheidend wird sein, wie wirksam THORChain die GG20-TSS-Lücken schließt und ob strengere Anforderungen für neue Node-Betreiber eingeführt werden. Dass ein Angreifer innerhalb von zwei Tagen einen Schaden von 10,7 Mio. US-Dollar verursachen konnte, deutet auf zu niedrige Eintrittshürden für bösartige Akteure hin.
Auch die Belastung der Synth-Holder bleibt ein Faktor: Kann POL die vollen 10,7 Mio. US-Dollar nicht decken, könnte der Haircut die Liquidität und Handelsaktivität in den Pools beeinträchtigen. Sinkende Liquidität führt typischerweise zu breiteren Spreads und schwächt die Wettbewerbsfähigkeit bei Crosschain-Swaps.
Für den DeFi-Markt insgesamt könnte ADR028 Signalwirkung haben. Gelingt eine Wiederherstellung ohne Verwässerung und ohne nachhaltigen Liquiditätsschaden, entsteht ein Referenzmodell für andere Projekte. Scheitert der Ansatz, stützt das die These, dass Crosschain-Infrastruktur eine grundlegend andere Sicherheitsarchitektur benötigt als Single-Chain-Protokolle.
Die ausgelobte Prämie bleibt ein Unsicherheitsfaktor: In der Vergangenheit wurden Mittel teils gegen Bounties und faktische Straffreiheit zurückgegeben. Ob das hier ebenfalls passiert oder die Gelder bereits über Mixer und Bridges weitergeleitet wurden, entscheidet darüber, wie viel von den 10,7 Mio. US-Dollar letztlich von POL und Synth-Holdern getragen werden muss.
