באג ריאורג באת'ריום עצר את THORChain בעשר רשתות ועיכב את הלבנת כספי בייננס

באג בטיפול בארגון מחדש של בלוק באת'ריום אילץ בשבת את מפעילי הצמתים של THORChain לעצור החלפות בנכסים של עשר רשתות, בהן ביטקוין, את'ריום, סולאנה וטרון. לפי חברת ניתוח הבלוקצ'יין Chainalysis, העצירה עיכבה בלי כוונה את הלבנתו של סכום משמעותי מהכספים שנגנבו מבייננס. זה קרה באותו יום שבו ה־FBI קרא למפעילי הצמתים לחסום כתובות של קבוצת TraderTraitor הצפון קוריאנית, ובזמן שמייסד הפרוטוקול מתנגד בפומבי להורדתו מהאוויר.

עשרה ETH שהוחזרו פעמיים

לפי THORChain, האירוע התחיל בשבת ב־11:34 לפי שעון UTC. ארגון מחדש של בלוק אחד באת'ריום (reorg, מצב שבו הרשת מחליפה בלוק טרי בבלוק מתחרה) מחק הפקדה של 10 ETH שהפרוטוקול כבר רשם לזכות השולח. ההחלפה לא עמדה במגבלת המחיר שהוגדרה לה, ולכן THORChain הנפיקה החזר על כסף שהכספת שלה מעולם לא קיבלה בפועל. גם ההפקדה האמיתית של השולח הוחזרה, כך שיצאו מהכספת 10 ETH עודפים, והתשלום העודף הפעיל עצירה אוטומטית.

הבעיה רחבה יותר מאירוע בודד. הצוות של הפרוטוקול הודה שמרגע שהפרצה פורסמה, "בכל פעם שיש ארגון מחדש של בלוק ברשת חיצונית, גורם זדוני יכול לבצע עסקה חדשה עם אותו nonce ולקבל כסף מהכספות של THORChain". ה־nonce הוא המספר הרץ של עסקאות מכתובת מסוימת, ושימוש חוזר בו בדיוק ברגע שבלוק נמחק מאפשר לנצל את הפער בין מה שהפרוטוקול רשם לבין מה שהרשת עצמה מכירה. המסחר באוולנץ', Base ו־XRP נמשך, ולפי הודעת הפרוטוקול "הצמתים יחליטו להפעיל מחדש רשתות כשייחשבו בטוחות".

המקורות לא מסכימים לגמרי על ההיקף. בכתבת החדשות של Cointelegraph נכתב שהעצירה כוללת עשר רשתות, ובסיכום השבועי של אותו אתר מדובר בתשע רשתות שנעצרו ב־31 באוקטובר מסיבות שאינן קשורות לפריצה.

הגשר שההאקרים נשענו עליו בעבר

THORChain מאפשרת להחליף מטבע ברשת אחת במטבע ברשת אחרת בלי צורך באישור של גורם מרכזי, והאקרים מצפון קוריאה כבר השתמשו בה אחרי פריצות קודמות. מחיר RUNE, המטבע של הפרוטוקול, קפץ ב־13% אחרי הפריצה לבייננס, מתוך ציפייה לעמלות שייגבו מההלבנה. ה־FBI פרסם רשימת כתובות שקשורות לפריצה, ובשבת פנה למפעילי צמתים של THORChain, לשירותי DeFi ולספקי נכסים דיגיטליים אחרים בקריאה לחסום עסקאות שקשורות לכתובות האלה.

"THORChain בדיוק עיכבה בלי כוונה הלבנה של סכום משמעותי מהכספים שנגנבו מבייננס", כתבה Chainalysis ביום ראשון. לדבריה, עד שהשירות יחזור לפעול, "לא ההאקרים ולא אף אחד אחר יכולים להחליף דרך רוב הגשרים של THORChain". התוקפים השתמשו גם במסלולים אחרים. לפי אנליסט שצוטט ב־The Block, כ־242 מיליון דולר מהשלל עברו הלבנה דרך טרון, והגשרים Relay, THORChain, Chainflip ו־Symbiosis הוציאו מטרון כ־140 מיליון דולר. Relay לבדה טיפלה ב־48 מיליון דולר, כשליש מהסכום. לפי Lookonchain, דרך Relay הומרה לביטקוין גם כמחצית מ־95.9 מיליון דולר בסולאנה גנובה, כלומר כ־48 מיליון דולר.

כמה עדיין נמצא בידי TraderTraitor

לפי מחירי סוף השבוע (ביטקוין ב־77,745 דולר ואת'ר ב־2,260 דולר), ההערכה הנמוכה שווה כ־1.40 מיליארד דולר בביטקוין (18,000 כפול 77,745) ועוד כ־972 מיליון דולר באת'ר (430,000 כפול 2,260), יחד כ־2.37 מיליארד דולר. לפי ההערכה הגבוהה מתקבלים כ־1.42 מיליארד דולר בביטקוין ועוד כ־1.25 מיליארד דולר באת'ר, כ־2.67 מיליארד דולר בסך הכול. בשוק חוששים שמכירה מהירה של כמויות כאלה תלחץ על מחירי הביטקוין והאת'ר, ועצירת THORChain מאטה בינתיים את אחד המסלולים שבהם התוקפים השתמשו בעבר.

50 מפעילים, 100 צמתים ומחלוקת על נייטרליות

לפי המפתח צ'אד בארפורד, שהתראיין לפודקאסט Unchained, רק כ־50 אנשים מפעילים את 100 הצמתים של THORChain. אם שליש ועוד אחד מהם מצביעים בעד, אפשר לעצור את הפעילות. צמתים יכולים גם לעזוב את הרשת אם אינם רוצים לעבד את הכספים, אבל הפרוטוקול מסוגל לפעול עם ארבעה צמתים בלבד. בדוח הרבעון השלישי כתב הפרויקט שהוא שומר על עמדתו כתשתית נייטרלית ופתוחה למרות הלחץ לחסום עסקאות של כספים פרוצים.

ג'ון פול תורביורנסן, המייסד המוכר בכינוי JP Thor שטוען שכבר אינו מעורב, דחה את הדרישה. "לדעתי, אם הצמתים יחליטו להוריד את הפרוטוקול מהאוויר בשבוע הבא, הניסוי נגמר", אמר, והוסיף שזה יהיה סופו של "המעוז האחרון של סליקה נייטרלית ובלתי מוגבלת". לפי Cointelegraph, יש השערות שמפעילים שיסרבו לעצור את הפרוטוקול או לחסום כתובות עלולים לעמוד לדין, בהתחשב בהיקף הגניבה ובמעורבות ה־FBI והשירות החשאי.

החלפות חוצות רשתות והבנק הישראלי

אם אתם משתמשים ב־THORChain או בארנקים שמנתבים דרכה, בדקו את דף מצב הרשת לפני כל שליחה. אל תשלחו הפקדה לכתובת כספת של רשת שנעצרה, ואל תנסו לשדר מחדש עסקה תקועה עם אותו nonce, כי בדיוק המנגנון הזה מסומן עכשיו כפרצה. ההפעלה מחדש תלויה בהחלטת הצמתים, ולכן קשה לדעת מתי כל רשת תחזור לפעול.

ההשלכה הארוכה יותר נוגעת למשיכה לשקלים. מטבעות שעברו דרך גשרים שבהם זרם שלל, ובמיוחד דרך כתובות שמופיעות ברשימת ה־FBI, עלולים להידלק במערכות הניטור של בורסות ובנקים. חוזר 2862 של בנק ישראל מחליף מ־1 במאי 2027 את בדיקת מקור הכספים מעל 100 אלף שקל בשנה בבדיקה מבוססת סיכון, ומונה שימוש במיקסרים ובבורסות לא מפוקחות כגורמים שמעלים סיכון (פירוט בכתבה על הוראה 411). עד אז הכלל הישן עדיין בתוקף. שמרו צילומי עסקאות, מזהי העברה והיסטוריית החלפות מלאה, כדי שתוכלו להראות לבנק מאיפה הגיעו המטבעות ובאיזה מסלול עברו.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.