A GoPlus Security questionou as comparações entre a arquitetura da THORChain e redes descentralizadas de camada base como Bitcoin e Ethereum, argumentando que o protocolo possui mecanismos de emergência e cofres controlados por validadores que dão aos operadores capacidades específicas para interromper atividades. A crítica foi publicada em 27 de setembro e ocorre em meio a novo escrutínio sobre fundos roubados que teriam passado pela THORChain após o ataque à Bitget. Segundo a empresa de segurança, cerca de 101,5 BTC ligados ao incidente já teriam saído pelo protocolo, enquanto outros 27,63 milhões de XRP estariam sendo convertidos em direção ao Bitcoin.
A Bitget, porém, não confirmou publicamente que atores norte-coreanos tenham realizado o ataque de setembro. A exchange informou apenas que investigadores encontraram semelhanças preliminares de IP e VPN associadas a atividades anteriormente ligadas à Coreia do Norte. A atribuição, portanto, permanece não confirmada.
GoPlus contesta comparação direta com Bitcoin e Ethereum
A GoPlus argumenta que a THORChain não deveria usar comparações diretas com Bitcoin ou Ethereum para explicar por que fundos roubados não podem ser bloqueados. Segundo a empresa, a arquitetura cross-chain da THORChain depende de cofres com assinaturas por limiar, um conjunto ativo de validadores e controles de governança de emergência.
Na prática, os nós participantes administram coletivamente o processo de assinatura necessário para autorizar transações de saída dos cofres compartilhados usados em swaps entre redes. A própria THORChain descreve esse mecanismo como uma estrutura de segurança projetada para distribuir o controle entre operadores independentes, em vez de concentrar as chaves dos cofres em uma única entidade.
A crítica da GoPlus está justamente na existência de ferramentas que permitem aos operadores coordenar interrupções quando consideram que os fundos estão em risco.
Procedimentos de emergência permitem pausar assinaturas
A GoPlus baseou parte de seu argumento na documentação oficial da própria THORChain. Os procedimentos de emergência informam que um operador de nó pode emitir um comando de pausa quando fundos enfrentam uma ameaça crítica.
Uma pausa dura 720 blocos, o equivalente a aproximadamente uma hora, e outros nós podem estender essa interrupção. Os operadores também podem votar em medidas mais específicas por meio do Mimir, sistema de parâmetros on-chain da THORChain.
A documentação lista entre as ações disponíveis a suspensão de negociações, interrupções específicas por blockchain e controles sobre assinaturas.
O relatório oficial sobre o exploit ocorrido em maio também detalha como esses parâmetros funcionam. Parâmetros operacionais do Mimir podem entrar em vigor após três votos de nós. Quatro votos podem reverter a decisão, enquanto outros cinco podem restabelecê-la. Já parâmetros econômicos exigem uma supermaioria de dois terços.
Para a GoPlus, essas regras demonstram que a THORChain possui ferramentas capazes de interromper fluxos específicos quando operadores entendem que existe risco suficiente para justificar uma resposta.
Exploit de maio mostrou capacidade de coordenar uma paralisação
A própria THORChain utilizou esses mecanismos durante um incidente de segurança em 15 de maio. Um validador malicioso explorou fragilidades no esquema GG20 Threshold Signature Scheme e reconstruiu a chave privada de um dos cofres Asgard.
Aproximadamente US$ 10,7 milhões foram drenados antes da interrupção completa da rede. O monitoramento automático de solvência identificou primeiro irregularidades nos saldos dos cofres e suspendeu assinaturas e negociações em várias blockchains.
Em seguida, operadores de nós coordenaram a resposta pelo Discord e usaram pausas manuais e votos no Mimir para interromper negociações, assinaturas, observação de redes e rotação de validadores. O relatório oficial da THORChain afirma que aproximadamente 18 a 20 nós empilharam comandos de pausa durante a resposta.
A paralisação controlada completa foi alcançada cerca de duas horas depois de membros da comunidade levantarem o alerta. A rede permaneceu fora do ar por aproximadamente cinco semanas.
As negociações voltaram em 23 de junho depois que código de assinatura corrigido, verificações de cofres e procedimentos de recuperação aprovados pela governança foram implementados. Swaps, assinaturas, rotação de validadores e operações de liquidez foram então restaurados.
Caso Bybit permanece no centro da disputa
A discussão sobre fluxos ilícitos na THORChain remonta ao ataque à Bybit em fevereiro de 2025. O FBI atribuiu formalmente o roubo de aproximadamente US$ 1,5 bilhão em ativos virtuais da exchange à Coreia do Norte e classificou a atividade como parte da campanha TraderTraitor.
O aviso público da agência incentivou exchanges, bridges, operadores de RPC, serviços DeFi e empresas de blockchain a bloquear transações envolvendo endereços relacionados aos ativos roubados.
O CEO da Bybit, Ben Zhou, afirmou que aproximadamente 72% de cerca de US$ 900 milhões em ativos convertidos haviam passado pela THORChain.
Relatos de março de 2025 indicaram que os invasores converteram a maior parte dos 499 mil ETH roubados em dez dias, com a THORChain processando uma parcela importante dos swaps.
No início desse período de lavagem, a THORChain registrou US$ 2,91 bilhões em volume de negociação e aproximadamente US$ 3 milhões em receita de taxas durante cinco dias, segundo dados on-chain citados na cobertura anterior.
A publicação mais recente da GoPlus utiliza uma estimativa posterior de aproximadamente US$ 5,9 bilhões em volume e US$ 5,5 milhões em taxas.
Voto anterior para bloquear fluxos foi revertido
O episódio da Bybit provocou uma disputa interna entre contribuidores e validadores da THORChain. Em fevereiro de 2025, três validadores votaram pela suspensão das negociações em Ethereum enquanto fundos roubados da Bybit passavam pelo protocolo.
O desenvolvedor Oleg Petrov afirmou posteriormente que a medida foi revertida em poucos minutos. Depois disso, o contribuidor central conhecido como Pluto disse que deixaria de contribuir para a THORChain. O validador TCB também declarou que poderia sair caso a rede não desenvolvesse uma forma de impedir fluxos associados à Coreia do Norte.
O fundador da THORChain, John-Paul Thorbjornsen, apoiou a continuidade das negociações e se opôs à ideia de permitir que uma terceira parte sem autoridade atualizasse dinamicamente listas de bloqueio no nível do protocolo.
Thorbjornsen disse, porém, que apoiaria nós individuais usando listas estáticas baseadas em informações oficiais do OFAC ou do FBI, caso esses operadores se sentissem confortáveis em fazê-lo.
A GoPlus agora sustenta que uma atribuição oficial do governo oferece uma base mais forte para intervenção do que listas dinâmicas mantidas por empresas privadas de segurança. O aviso do FBI sobre o caso Bybit pediu explicitamente a serviços privados de ativos virtuais que bloqueassem transações ligadas ou derivadas dos endereços TraderTraitor identificados.
Fluxos ligados à Bitget reabrem o debate
A GoPlus retomou esses argumentos após o ataque à Bitget em setembro. Segundo seu rastreamento, aproximadamente 101,5 BTC, avaliados em cerca de US$ 8,5 milhões, já teriam saído pela THORChain a partir de fluxos ligados ao incidente.
A empresa também afirmou que outros 27,63 milhões de XRP, avaliados em aproximadamente US$ 43 milhões, estariam sendo movimentados por swaps em direção ao Bitcoin.
Esses valores vêm da análise da GoPlus e devem ser tratados como estimativas da empresa, não como números confirmados pela Bitget ou pela THORChain.
A Bitget elevou sua estimativa confirmada de ativos transferidos para endereços controlados pelos atacantes para aproximadamente US$ 387,5 milhões. A exchange também iniciou a oferta de recompensas de recuperação e planeja restaurar retiradas em etapas a partir de 28 de setembro.
Apesar das semelhanças preliminares de IP e VPN citadas pela Bitget, a participação de atores norte-coreanos continua sem confirmação pública no ataque de setembro.
GoPlus defende uso do mecanismo em casos oficialmente atribuídos
A GoPlus afirmou que a THORChain poderia utilizar sua estrutura de emergência existente para fundos ligados a endereços oficialmente identificados por agências como FBI ou OFAC.
Os procedimentos documentados da THORChain definem um evento crítico como uma situação em que fundos mantidos em pools ou cofres enfrentam um ataque ou outra ameaça à segurança do protocolo. A documentação orienta operadores a iniciar pausas e votar em ações de emergência direcionadas nessas circunstâncias.
O ponto central da disputa é se essa mesma estrutura deveria ser utilizada quando ativos roubados de terceiros estão apenas passando pela THORChain.
As regras publicadas descrevem emergências técnicas relacionadas à segurança do próprio protocolo, mas não determinam que todo roubo externo exija automaticamente uma paralisação. A GoPlus argumenta que os controles disponíveis mostram que alguma intervenção é tecnicamente possível, especialmente quando existe atribuição oficial.
A THORChain, por sua vez, apresenta seus cofres de assinatura distribuída e os controles de emergência como parte de um modelo no qual operadores independentes compartilham responsabilidades de segurança.
Debate combina arquitetura, governança e atribuição
A controvérsia atual reúne três questões principais diferentes. A primeira é técnica: a THORChain possui mecanismos documentados que podem suspender assinaturas, negociações e operações em determinadas situações. A segunda é de governança: esses recursos dependem de votos e coordenação entre operadores.
No caso Bybit, o FBI vinculou formalmente o roubo à Coreia do Norte e pediu que serviços bloqueassem endereços relacionados. No caso Bitget, essa atribuição ainda não foi confirmada publicamente.
Por isso, a crítica da GoPlus não se limita a afirmar que a THORChain pode pausar. Ela questiona como o protocolo apresenta sua descentralização e quais critérios seus operadores deveriam utilizar diante de fundos suspeitos.
O exploit de maio demonstrou que a rede consegue coordenar uma interrupção extensa para proteger seus próprios cofres. O episódio Bybit mostrou que tentativas de bloquear fluxos externos podem gerar desacordo entre validadores e contribuidores.
Agora, os fluxos ligados à Bitget colocam o mesmo problema novamente em evidência. A documentação confirma a existência de ferramentas de emergência, mas não estabelece que todo ativo roubado passando pelo protocolo deve ser bloqueado. A disputa permanece sobre onde termina a proteção técnica da THORChain e onde começa uma decisão de governança sobre ativos roubados externamente.
