thorchain

Galaxy Research опубликовал, что злоумышленники в атаке "Wave 3" продолжают перемещать украденные средства. На этом этапе злоумышленники создали 293 мультиподписных хранилища 2-of-2 для активов каждого жертвы. Первые средства были переведены через THORChain на Ethereum; последний раунд переводов начал входить в процесс смешивания CoinJoin.В настоящее время злоумышленники Wave 3 обрабатывают средства в порядке убывания украденной суммы, последовательно перемещая средства из хранилищ с 1 по 11 место. Следующие 10 хранилищ, которые еще не были переведены, в совокупности содержат 30.81 BTC, в то время как хранилища с 61 по 293 место в совокупности содержат 33.77 BTC. На данный момент злоумышленники переместили около 45% украденных активов в результате этой уязвимости, средства были переведены на Ethereum (через THORChain) или вошли в сделки смешивания CoinJoin. Кроме того, в ходе перевода средств было обнаружено ранее неизвестное хранилище: 58 адресов совместно расходуют средства в формате 2-of-2 мультиподписей, аналогичном Wave 3, и были дополнительно переведены злоумышленниками Wave 3 на промежуточный адрес, финансирующий CoinJoin.Команда анализа на блокчейне в настоящее время пометила это хранилище как "cause = open", но считает, что оно, вероятно, также принадлежит жертвам Coldcard, что означает, что количество хранилищ, вовлеченных в Wave 3, может увеличиться до 294, и общая сумма украденных средств, ранее объявленная для уязвимости Coldcard, может возрасти до примерно 1806 BTC. В настоящее время около 82% украденных BTC все еще находятся на адресах, первоначально контролируемых злоумышленниками, около 18% были переведены, а потоки средств показывают, что они, возможно, проходят процесс отмывания денег.

Согласно мониторингу Bitcoin News, хакеры, связанные с третьей волной кражи Coldcard, впервые начали переводить украденные средства и обменивать биткойны на ETH через THORChain. Алекс Торн из Galaxy Research сообщил, что около 10% украденных BTC были переведены, а оставшиеся 90% пока не использованы.Сообщается, что злоумышленник столкнулся с трудностями при обмене средств, несколько транзакций THORChain были отклонены и повторены. Исследователи отслеживали соответствующие операции обмена до нового адреса Ethereum, Алекс Торн сообщил, что этот адрес был передан соответствующим органам и криптовалютным компаниям. Galaxy Research сообщает, что более широкая эксплуатация уязвимости Coldcard привела к потере как минимум 1789 BTC на 8865 адресах, что по цене на момент кражи составляет около 115 миллионов долларов.

Согласно мониторингу руководителя исследований Galaxy, злоумышленники COLDCARD Wave 3 впервые перевели украденные средства и обменяли их на ETH через кросс-чейн DEX THORChain. Это первый случай, когда средства были переведены в цепочке с оригинального адреса хакеров в рамках Wave 1, 2 или 3.

Сообщение ChainCatcher, согласно отчету Decrypt, THORChain объявила о запуске версии 3.2, которая добавляет поддержку нативного кросс-цепного обмена для Monero (XMR) и Zcash (ZEC). Пользователи могут напрямую обменивать XMR и ZEC на BTC, ETH и стейблкоины без необходимости упаковки активов, регистрации учетной записи на централизованной бирже или передачи прав на управление активами.Это обновление также вводит собственную ликвидность протокола (POL) и Stable Reserve, а также восстанавливает поддержку Solana, Base и BNB. При этом Stable Reserve поддерживает обмен между стейблкоинами без комиссий за ликвидность. Это обновление, как ожидается, предоставит пользователям, столкнувшимся с сокращением ликвидных каналов из-за снятия или ограничения XMR на централизованных биржах, новые пути для неконтролируемой торговли.

Сообщение ChainCatcher, CertiK заявляет, что их система мониторинга обнаружила две транзакции по 200 ETH, переведенные в Tornado Cash, связанные средства относятся к текущему инциденту с атакой на Coldcard Wallet.Указанные средства ранее были переведены через THORChain из BTC на адрес Ethereum, а затем снова переведены в Tornado Cash.

Сообщение от ChainCatcher, согласно мониторингу аналитика по цепочке Юй Цзиня, хакеры AFX Trade начали обменивать ETH на BTC с помощью инструмента кросс-цепочного обмена THORChain. Мост AFX Trade был украден позавчера на сумму 24,15 миллиона USDC, которые затем были обменены на 12,5 тысячи ETH.1 час назад хакеры начали обменивать ETH на BTC через THORChain, в настоящее время уже 655,4 ETH были обменены на 18,86 BTC.

Сообщение от ChainCatcher, согласно объявлению THORChain, сеть полностью восстановила работу после более чем месячного простоя, функции подписи, ротации узлов (churning), хранения активов, предоставления ликвидности и кросс-цепного обмена снова доступны, торговые услуги официально восстановлены.THORChain заявляет, что восстановление было сосредоточено на безопасности и стабильности, полная проверка казны и долей ключей завершена. Будущая дорожная карта включает обмен нативного Monero, поддержку Zcash, динамические комиссии и более глубокую оптимизацию ликвидности.

Сообщение ChainCatcher, THORChain опубликовал обновление событий, в котором говорится, что сеть входит в последний этап восстановления. В настоящее время проводится проверка целостности каждого узла keyshare с помощью нового протокола KeyVerify. Этот шаг необходим для подтверждения того, что каждый хранилище находится в безопасном состоянии перед началом churn. Если проверка пройдет успешно, следующим важным шагом будет churn, то есть сеть перенесет все средства в новое хранилище.THORChain сообщает, что время churn является текущей основной переменной и может занять от нескольких часов до нескольких дней. После завершения churn ожидается, что последующие шаги будут быстро продвигаться, включая повторное включение Secured и Trade активов, операции LP и, наконец, восстановление торговли. Восстановление сети заняло больше времени, чем ожидалось, поскольку команда всегда ставила безопасность и стабильность в приоритет, и в дальнейшем будет продолжать делиться дополнительными обновлениями.

Сообщение от ChainCatcher, согласно блогу THORChain, ZEC уже находится в очереди на запуск в THORChain, но из-за недавно раскрытой уязвимости Zcash существующий патч влияет на нормальное использование интегратора, поэтому THORChain необходимо сначала завершить небольшое изменение кода в модуле Bifrost, прежде чем продвигаться дальше.Команда разработчиков заявила, что изменение очень незначительное, но должно быть завершено до запуска ZEC. В настоящее время ожидается, что Monero (XMR) будет запущен в конце этого месяца, а ZEC будет следующим в очереди.

According to Cointelegraph, CertiK data shows that losses from attacks on crypto platforms in May dropped to $68.3 million, a nearly 90% decrease from $650 million in April. May became the third month in 2026 with losses below $100 million. Of this, approximately $2.6 million came from phishing attacks, and about $9.4 million of stolen funds have been recovered or returned. The largest single loss in May came from the Verus Protocol cross-chain bridge attack, with $11.5 million stolen; THORChain ranked second, with $10.1 million stolen. Code vulnerabilities were the highest loss type, accounting for about $45 million, or 66%; wallet or private key leaks resulted in $13.7 million in losses. Cross-chain bridges were the primary target of attacks, with losses of $28.6 million, accounting for 42%. DeFiLlama data shows that there were a total of 29 incidents in May, of which 7 involved private key leaks.

THORChain has released its fourth update regarding the attack incident on May 15, and the proposal ADR028 has been announced, with voting for node operators now open.According to the recovery plan, the protocol will first absorb losses through its own liquidity, with the remaining portion to be shared by synthetic asset holders; the specific distribution ratio of the two is still under evaluation. The protocol's own liquidity will be reduced to zero, and will be gradually replenished through system revenue. This plan will not issue or sell RUNE, nor will it dilute any holders.On the technical side, GG20 will be temporarily retained and has completed patch upgrades. Trading will resume after the vulnerabilities are fixed and node rotation is successfully conducted, with a future release pace that is slower and more security-conscious. Innocent nodes located in the same vault as the attacker will be protected, while the attacker nodes will be fully confiscated. The recovered RUNE will be paired with the recovered assets, and any excess will be destroyed.The protocol also offers a white hat bounty to the attacker to recover funds; if some are returned, the recovery plan will be adjusted proportionally. THORChain remains neutral and permissionless, and there will be no review of the attacker's Swap transactions after trading resumes. Node operators are currently voting on the proposal direction, and the numbers in the ADR are only indicative, with adjustments to be made through Mimir later.

THORChain officials stated that a large number of fake accounts and false information have appeared in the market, involving activities such as "refunds," "airdrops," and "compensations"; preliminary investigations show that user funds were not harmed in the previous security incidents, and no refund, airdrop, or compensation plans are currently underway. Any accounts claiming otherwise are impersonating or spreading false information. Progress on the investigation and more information will be announced later.

THORChain released an update on the hacking incident on platform X. Preliminary evidence suggests that a node that recently joined the network may have been controlled by a malicious operator, who exploited the GG20 TSS vulnerability to obtain key information from vault participants, ultimately reconstructing the vault private key and executing unauthorized withdrawal transactions. Currently, multiple THORChain nodes have been shut down, resulting in the network being in a paused state. RUNE transfers are expected to resume in about 12 hours, but the specific situation will depend on node decisions. Functions such as trading, liquidity provider operations, and signing are still unavailable, and a full restoration of network functionality is expected to take several days. Recovery plans are under discussion and may include reducing the staking of affected nodes, as well as other remedial measures proposed by the community.

Chainalysis posted on the X platform that before the theft of THORChain, wallets suspected to be associated with the attacker had been transferring funds through Monero, Hyperliquid, and THORChain for several weeks. The attacker-associated wallets had already deposited into Hyperliquid positions via the Hyperliquid and Monero privacy bridge as early as the end of April. The funds were then exchanged for USDC and transferred to Arbitrum, and later bridged to Ethereum, with some ETH subsequently transferred to THORChain to become staked RUNE for newly added nodes, which are believed to be the source of the attack.Afterward, the attacker bridged some RUNE back to Ethereum and split it into four pathways, one of which went directly to the attacker. After being transferred through intermediate wallets, 8 ETH was sent to the final wallet receiving the stolen funds 43 minutes before the attack. The funds from the other three pathways flowed in the opposite direction. These wallets bridged ETH back to Arbitrum, deposited it into Hyperliquid, and transferred it into Monero through the same privacy bridge, with the last transaction occurring less than 5 hours before the attack began.As of Friday afternoon, the stolen funds have not yet been used, but the attacker has demonstrated their skilled cross-chain money laundering capabilities, and the Hyperliquid to Monero path may become the next move.

THORChain has announced that one Asgard vault has been attacked, and trading has been suspended. Initial signs indicate that user funds are safe, and only the protocol's own funds are affected. THORChain stated that the network automatically detected abnormal behavior and suspended signing activities to prevent further fund transfers. The estimated loss is currently around $10.7 million.The announcement mentioned that one of the six Asgard vaults is suspected to have been breached, and related nodes have triggered the RUNE staking penalty mechanism due to unauthorized transfers. The current network has suspended Churn activities, and new connections and related operations will also be postponed until the investigation and repairs are completed.THORChain stated that preliminary investigations show that users' personal exchange transactions have not been affected, and all node operators have been asked to immediately check their infrastructure, key management systems, and operating environments for any anomalies.

According to on-chain analyst PeckShield (@PeckShieldAlert), THORChain was hacked, resulting in a loss of approximately $10 million in crypto assets, including 36.75 BTC (about $3 million) and assets worth about $7 million from BNBChain, Ethereum, and Base chains.

According to on-chain detective ZachXBT, THORChain has suffered attacks on multiple chains, resulting in losses exceeding $7.4 million.

According to Onchain Lens monitoring, a certain whale exchanged 40 BTC for 1,384.6 ETH through THORChain, worth 3.23 million USD, and then transferred these funds through Tornado Cash.

According to on-chain analysts, the Balancer attacker-associated address transferred 5,609 ETH to THORChain in the past, worth 13 million dollars.In November 2025, Balancer was stolen over 116 million dollars, with the same suspects as the Aave attack incident, both pointing to the North Korean hacker organization Lazarus Group, and both have recently been frequently using Tornado Cash for money laundering.

According to on-chain analyst Yu Jin's monitoring, the KelpDAO hacker exchanged all 75,700 ETH for BTC through THORChain yesterday. The hacker who stole $98 million in assets from Balancer last November also exchanged ETH for BTC through THORChain today.Today, the Balancer hacker has already exchanged 7,000 ETH for 204.7 BTC ($15.88 million) and is still continuing. Currently, the Balancer hacker holds 15,000 ETH ($34.65 million) on the ETH chain and 204.7 BTC ($15.88 million) on the BTC chain.