THORChain suspendió las operaciones y la actividad de firma tras ser comprometido uno de sus cofres Asgard en un ataque que drenó aproximadamente entre $10,7 millones y $10,8 millones. Esto según declaraciones del protocolo y expertos en seguridad.
En un anuncio publicado el 15 de mayo, THORChain dijo que la red detectó automáticamente actividad anormal y suspendió las operaciones de firma para evitar transacciones salientes adicionales.
El protocolo dijo:
- uno de los seis cofres Asgard parece haber sido comprometido,
- la actividad de churn ha sido pausada,
- y se ha pedido a los operadores de nodos que revisen la infraestructura, los sistemas de gestión de claves y la seguridad operativa en busca de signos de compromiso.
THORChain añadió que las primeras indicaciones sugieren que los fondos de los usuarios no se vieron directamente afectados y que las pérdidas parecen limitarse a los fondos propiedad del protocolo.
El CTO de Ledger señala una posible vulnerabilidad en TSS
Charles Guillemet sugirió que el incidente podría involucrar una debilidad relacionada con la infraestructura del esquema de firma umbral [TSS].
Referenciando los comentarios del contribuyente de THORChain JP Thor, Guillemet dijo que la explotación “podría ser una explotación de MPC” que involucra GG20. Este es un protocolo de firma umbral utilizado en algunos sistemas de monedero de cómputo multipartito [MPC].
Las bóvedas de THORChain dependen de TSS, un sistema criptográfico diseñado para permitir que múltiples nodos generen firmas conjuntamente sin reconstruir la clave privada completa en un solo lugar.
Sin embargo, Guillemet señaló que los protocolos de la familia GG18/GG20 han enfrentado históricamente vulnerabilidades críticas, incluyendo:
- CVE-2023-33241,
- y TSSHOCK.
Argumentó que en algunos escenarios de ataque previamente documentados, un solo co-firmante comprometido podría reconstruir suficiente información para recuperar la clave de firma completa.
Los ataques asistidos por IA podrían estar modificando las suposiciones de seguridad de los validadores
Una de las partes más notables del análisis de Guillemet se centró en la inteligencia artificial y la seguridad de la infraestructura.
Advertió que los avances en el descubrimiento de vulnerabilidades y la generación de exploits asistidos por LLM podrían reducir la dificultad de comprometer la infraestructura de validadores que anteriormente se consideraba difícil de atacar.
Según Guillemet, un escenario de ataque potencial podría involucrar:
- comprometer un validador,
- esperando a que se una a una bóveda activa,
- explotando pruebas de firma malformadas durante la generación de claves o la firma,
- y reconstruyendo las claves de la bóveda sin conexión.
Al mismo tiempo, advirtió que la causa raíz exacta del exploit sigue sin estar clara y dijo que los investigadores aún no han confirmado si se involucró una debilidad conocida de GG20 o una falla previamente no descubierta.
La investigación sigue en curso
Los contribuidores de THORChain dijeron que la investigación aún está en curso y que se lanzarán más actualizaciones a medida que continúen los esfuerzos de corrección.
El incidente suma a la creciente escrutinio sobre las suposiciones de seguridad detrás de la infraestructura MPC y TSS, que se utilizan cada vez más en protocolos multicanal, sistemas de custodia e infraestructura cripto institucional.
Resumen final
- THORChain suspendió las operaciones tras una explotación de la bodega que drenó aproximadamente $10,8 millones de los fondos propiedad del protocolo.
- Los investigadores de seguridad y el CTO de Ledger, Charles Guillemet, dijeron que el incidente podría involucrar debilidades relacionadas con la infraestructura de firma MPC/TSS.