thorchain

Galaxy Research đã công bố rằng, kẻ tấn công trong sự kiện tấn công "Wave 3" của Coldcard vẫn đang tiếp tục chuyển tiền bị đánh cắp. Trong giai đoạn này, kẻ tấn công đã tạo ra 293 kho lưu trữ đa chữ ký 2-of-2 cho từng nạn nhân. Lần chuyển tiền đầu tiên đã được thực hiện qua THORChain sang Ethereum; vòng chuyển tiền mới nhất đã bắt đầu vào quy trình CoinJoin.Hiện tại, kẻ tấn công Wave 3 đang xử lý số tiền lớn nhất theo thứ tự bị đánh cắp, đã chuyển tiền từ kho lưu trữ xếp hạng từ 1 đến 11. 10 kho lưu trữ tiếp theo chưa được chuyển tổng cộng nắm giữ 30.81 BTC, trong khi các kho lưu trữ xếp hạng từ 61 đến 293 tổng cộng nắm giữ 33.77 BTC. Đến thời điểm hiện tại, kẻ tấn công đã chuyển khoảng 45% tài sản bị đánh cắp trong lần khai thác này, tiền đã chảy vào Ethereum (qua THORChain) hoặc vào giao dịch CoinJoin. Ngoài ra, việc chuyển tiền này còn phát hiện một kho lưu trữ chưa từng biết đến trước đây: 58 địa chỉ đã chi tiêu chung theo cách đa chữ ký 2-of-2 với định dạng giống như Wave 3, và đã được kẻ tấn công Wave 3 chuyển vào một địa chỉ nhảy để cung cấp tiền cho CoinJoin.Nhóm phân tích trên chuỗi hiện đã đánh dấu kho lưu trữ này là "cause = open", nhưng cho rằng nó rất có thể cũng thuộc về nạn nhân của Coldcard, điều này có nghĩa là số lượng kho lưu trữ liên quan đến Wave 3 có thể tăng lên 294, và tổng số tiền bị đánh cắp từ lỗ hổng Coldcard được công bố trước đó có thể tăng lên khoảng 1806 BTC. Hiện tại, khoảng 82% BTC bị đánh cắp vẫn nằm trong địa chỉ mà kẻ tấn công ban đầu kiểm soát, khoảng 18% đã được chuyển đi, và dòng tiền cho thấy nó có thể đang được xử lý rửa tiền.

Theo dõi của Bitcoin News, những kẻ hack liên quan đến vụ trộm thứ ba của ví Coldcard đã bắt đầu chuyển tiền bị đánh cắp và đổi Bitcoin sang ETH thông qua THORChain. Alex Thorn từ Galaxy Research cho biết, khoảng 10% BTC bị đánh cắp đã được chuyển đi, trong khi 90% còn lại vẫn chưa được sử dụng.Kẻ tấn công được báo cáo đã gặp khó khăn trong việc đổi tiền, nhiều giao dịch THORChain đã bị trả lại và thử lại. Các nhà nghiên cứu đã theo dõi các giao dịch đổi tiền liên quan đến một địa chỉ Ethereum mới, Alex Thorn cho biết, địa chỉ này đã được chia sẻ với các cơ quan chức năng và các công ty tiền điện tử. Galaxy Research cho biết, sự khai thác lỗ hổng Coldcard rộng rãi hơn đã dẫn đến việc 8865 địa chỉ ít nhất mất 1789 BTC, theo giá trị vào thời điểm bị đánh cắp, tương đương khoảng 115 triệu USD.

Theo giám sát của Giám đốc Nghiên cứu Galaxy, kẻ tấn công COLDCARD Wave 3 đã lần đầu tiên chuyển tiền bị đánh cắp và đổi chúng thành ETH thông qua DEX đa chuỗi THORChain. Đây là lần đầu tiên tiền được chuyển trên chuỗi từ địa chỉ hacker gốc trong Wave 1, 2 hoặc 3.

ChainCatcher tin tức, theo báo cáo của Decrypt, THORChain đã công bố ra mắt phiên bản 3.2, bổ sung hỗ trợ trao đổi chéo gốc cho Monero (XMR) và Zcash (ZEC), người dùng không cần phải đóng gói tài sản, đăng ký tài khoản sàn giao dịch tập trung hoặc giao quyền quản lý tài sản, có thể trực tiếp đổi XMR, ZEC thành BTC, ETH và stablecoin.Lần nâng cấp này còn giới thiệu tính thanh khoản tự có của giao thức (POL) và Dự trữ Ổn định, đồng thời khôi phục hỗ trợ cho Solana, Base và BNB. Trong đó, Dự trữ Ổn định hỗ trợ trao đổi giữa các stablecoin mà không mất phí thanh khoản. Lần nâng cấp này hy vọng sẽ cung cấp cho người dùng đang phải đối mặt với việc thu hẹp kênh thanh khoản do sàn giao dịch tập trung gỡ bỏ hoặc hạn chế XMR, một con đường giao dịch không cần quản lý mới.

Tin tức từ ChainCatcher, CertiK cho biết, hệ thống giám sát của họ phát hiện hai giao dịch mỗi giao dịch 200 ETH chuyển vào Tornado Cash, số tiền liên quan đến sự kiện tấn công Coldcard Wallet đang diễn ra.Số tiền trên đã được chuyển từ BTC sang địa chỉ Ethereum qua THORChain, sau đó lại được chuyển vào Tornado Cash.

Theo thông tin từ ChainCatcher, theo dõi bởi nhà phân tích chuỗi Yujin, hacker AFX Trade đã bắt đầu chuyển đổi ETH thành BTC thông qua công cụ trao đổi chuỗi chéo THORChain. Cây cầu của AFX Trade đã bị đánh cắp 24.15 triệu USDC cách đây hai ngày, và những USDC này sau đó đã được đổi thành 12,500 ETH.1 giờ trước, hacker đã bắt đầu chuyển đổi ETH thành BTC qua THORChain, hiện đã có 655.4 ETH được chuyển đổi thành 18.86 BTC.

Theo thông báo từ THORChain, mạng lưới đã hoàn toàn phục hồi hoạt động sau hơn một tháng ngừng hoạt động, các chức năng cốt lõi như ký kết, luân chuyển nút (churning), quản lý tài sản, cung cấp thanh khoản và trao đổi xuyên chuỗi đã được khôi phục, dịch vụ giao dịch chính thức trở lại.THORChain cho biết, lần phục hồi này với mục tiêu hàng đầu là an toàn và ổn định, đã hoàn thành xác minh toàn diện kho bạc và phân chia khóa. Lộ trình tương lai bao gồm trao đổi Monero gốc, hỗ trợ Zcash, phí giao dịch động và tối ưu hóa thanh khoản sâu hơn.

Tin tức từ ChainCatcher, THORChain đã phát hành cập nhật sự kiện cho biết, mạng lưới đang bước vào giai đoạn cuối của quá trình phục hồi. Hiện tại, đang xác minh tính toàn vẹn của keyshare của mỗi nút thông qua giao thức KeyVerify mới. Bước này được thực hiện để xác nhận rằng mỗi kho bạc đang ở trạng thái an toàn trước khi bắt đầu churn. Nếu xác minh thành công, bước chính tiếp theo sẽ là churn, tức là mạng lưới sẽ chuyển tất cả các quỹ sang kho bạc mới.THORChain cho biết, thời gian churn là biến số chính hiện tại, có thể mất từ vài giờ đến vài ngày. Sau khi hoàn thành churn, các bước tiếp theo dự kiến sẽ được tiến hành nhanh chóng, bao gồm việc kích hoạt lại tài sản Secured và Trade, hoạt động LP, và cuối cùng là phục hồi giao dịch. Quá trình phục hồi mạng lưới lần này mất nhiều thời gian hơn dự kiến, lý do là đội ngũ luôn đặt an toàn và ổn định lên hàng đầu, và sẽ tiếp tục chia sẻ thêm nhiều cập nhật trong thời gian tới.

Tin tức từ ChainCatcher, theo blog của THORChain, ZEC đã có trong danh sách chờ lên THORChain, nhưng do lỗ hổng gần đây được Zcash công bố dẫn đến các bản vá hiện tại ảnh hưởng đến việc sử dụng bình thường của các bên tích hợp, THORChain cần hoàn thành một sửa đổi mã trong mô-đun Bifrost trước khi có thể tiến hành.Nhóm phát triển cho biết mức độ sửa đổi rất nhỏ, nhưng phải hoàn thành trước khi ZEC lên sóng. Hiện tại, Monero (XMR) dự kiến sẽ lên sóng vào cuối tháng này, ZEC xếp sau.

According to Cointelegraph, CertiK data shows that losses from attacks on crypto platforms in May dropped to $68.3 million, a nearly 90% decrease from $650 million in April. May became the third month in 2026 with losses below $100 million. Of this, approximately $2.6 million came from phishing attacks, and about $9.4 million of stolen funds have been recovered or returned. The largest single loss in May came from the Verus Protocol cross-chain bridge attack, with $11.5 million stolen; THORChain ranked second, with $10.1 million stolen. Code vulnerabilities were the highest loss type, accounting for about $45 million, or 66%; wallet or private key leaks resulted in $13.7 million in losses. Cross-chain bridges were the primary target of attacks, with losses of $28.6 million, accounting for 42%. DeFiLlama data shows that there were a total of 29 incidents in May, of which 7 involved private key leaks.

THORChain has released its fourth update regarding the attack incident on May 15, and the proposal ADR028 has been announced, with voting for node operators now open.According to the recovery plan, the protocol will first absorb losses through its own liquidity, with the remaining portion to be shared by synthetic asset holders; the specific distribution ratio of the two is still under evaluation. The protocol's own liquidity will be reduced to zero, and will be gradually replenished through system revenue. This plan will not issue or sell RUNE, nor will it dilute any holders.On the technical side, GG20 will be temporarily retained and has completed patch upgrades. Trading will resume after the vulnerabilities are fixed and node rotation is successfully conducted, with a future release pace that is slower and more security-conscious. Innocent nodes located in the same vault as the attacker will be protected, while the attacker nodes will be fully confiscated. The recovered RUNE will be paired with the recovered assets, and any excess will be destroyed.The protocol also offers a white hat bounty to the attacker to recover funds; if some are returned, the recovery plan will be adjusted proportionally. THORChain remains neutral and permissionless, and there will be no review of the attacker's Swap transactions after trading resumes. Node operators are currently voting on the proposal direction, and the numbers in the ADR are only indicative, with adjustments to be made through Mimir later.

THORChain officials stated that a large number of fake accounts and false information have appeared in the market, involving activities such as "refunds," "airdrops," and "compensations"; preliminary investigations show that user funds were not harmed in the previous security incidents, and no refund, airdrop, or compensation plans are currently underway. Any accounts claiming otherwise are impersonating or spreading false information. Progress on the investigation and more information will be announced later.

THORChain released an update on the hacking incident on platform X. Preliminary evidence suggests that a node that recently joined the network may have been controlled by a malicious operator, who exploited the GG20 TSS vulnerability to obtain key information from vault participants, ultimately reconstructing the vault private key and executing unauthorized withdrawal transactions. Currently, multiple THORChain nodes have been shut down, resulting in the network being in a paused state. RUNE transfers are expected to resume in about 12 hours, but the specific situation will depend on node decisions. Functions such as trading, liquidity provider operations, and signing are still unavailable, and a full restoration of network functionality is expected to take several days. Recovery plans are under discussion and may include reducing the staking of affected nodes, as well as other remedial measures proposed by the community.

Chainalysis posted on the X platform that before the theft of THORChain, wallets suspected to be associated with the attacker had been transferring funds through Monero, Hyperliquid, and THORChain for several weeks. The attacker-associated wallets had already deposited into Hyperliquid positions via the Hyperliquid and Monero privacy bridge as early as the end of April. The funds were then exchanged for USDC and transferred to Arbitrum, and later bridged to Ethereum, with some ETH subsequently transferred to THORChain to become staked RUNE for newly added nodes, which are believed to be the source of the attack.Afterward, the attacker bridged some RUNE back to Ethereum and split it into four pathways, one of which went directly to the attacker. After being transferred through intermediate wallets, 8 ETH was sent to the final wallet receiving the stolen funds 43 minutes before the attack. The funds from the other three pathways flowed in the opposite direction. These wallets bridged ETH back to Arbitrum, deposited it into Hyperliquid, and transferred it into Monero through the same privacy bridge, with the last transaction occurring less than 5 hours before the attack began.As of Friday afternoon, the stolen funds have not yet been used, but the attacker has demonstrated their skilled cross-chain money laundering capabilities, and the Hyperliquid to Monero path may become the next move.

THORChain has announced that one Asgard vault has been attacked, and trading has been suspended. Initial signs indicate that user funds are safe, and only the protocol's own funds are affected. THORChain stated that the network automatically detected abnormal behavior and suspended signing activities to prevent further fund transfers. The estimated loss is currently around $10.7 million.The announcement mentioned that one of the six Asgard vaults is suspected to have been breached, and related nodes have triggered the RUNE staking penalty mechanism due to unauthorized transfers. The current network has suspended Churn activities, and new connections and related operations will also be postponed until the investigation and repairs are completed.THORChain stated that preliminary investigations show that users' personal exchange transactions have not been affected, and all node operators have been asked to immediately check their infrastructure, key management systems, and operating environments for any anomalies.

According to on-chain analyst PeckShield (@PeckShieldAlert), THORChain was hacked, resulting in a loss of approximately $10 million in crypto assets, including 36.75 BTC (about $3 million) and assets worth about $7 million from BNBChain, Ethereum, and Base chains.

According to on-chain detective ZachXBT, THORChain has suffered attacks on multiple chains, resulting in losses exceeding $7.4 million.

According to Onchain Lens monitoring, a certain whale exchanged 40 BTC for 1,384.6 ETH through THORChain, worth 3.23 million USD, and then transferred these funds through Tornado Cash.

According to on-chain analysts, the Balancer attacker-associated address transferred 5,609 ETH to THORChain in the past, worth 13 million dollars.In November 2025, Balancer was stolen over 116 million dollars, with the same suspects as the Aave attack incident, both pointing to the North Korean hacker organization Lazarus Group, and both have recently been frequently using Tornado Cash for money laundering.

According to on-chain analyst Yu Jin's monitoring, the KelpDAO hacker exchanged all 75,700 ETH for BTC through THORChain yesterday. The hacker who stole $98 million in assets from Balancer last November also exchanged ETH for BTC through THORChain today.Today, the Balancer hacker has already exchanged 7,000 ETH for 204.7 BTC ($15.88 million) and is still continuing. Currently, the Balancer hacker holds 15,000 ETH ($34.65 million) on the ETH chain and 204.7 BTC ($15.88 million) on the BTC chain.