THORChain : la pause des swaps vient d’un double remboursement de 10 ETH après une réorganisation d’Ethereum, 10 chaînes restent fermées

Mise à jour du 2 novembre 2026, 5 h 55 UTC : THORChain a donné une cause, selon Cointelegraph : une réorganisation d’Ethereum d’un seul bloc a effacé un dépôt de 10 ETH déjà crédité, et les remboursements qui ont suivi ont versé environ 10 ETH de trop. Les swaps restent suspendus sur 10 des 13 chaînes, contre 11 relevées le 1er novembre, car Base a rouvert, d’après les données des nœuds lues à 05 h 44 UTC le 2 novembre. Les nœuds rouvriront les chaînes une à une, sans date annoncée. La déclaration de Chainalysis selon laquelle cet accident a retardé le blanchiment de fonds volés à Binance nous parvient désormais par Cointelegraph et Bitcoin.com.

Les swaps de THORChain étaient toujours suspendus sur 10 de ses 13 chaînes connectées à 05 h 44 UTC, soit 06 h 44 à Paris, ce lundi 2 novembre, selon les données des nœuds du réseau lues par Coindaro. Bitcoin, Ethereum, Solana et Tron en font partie ; Avalanche, Base et XRP Ledger sont ouvertes. THORChain date le début de l’arrêt de 11 h 34 UTC le samedi 31 octobre, selon Cointelegraph : blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il durait donc depuis environ 42 heures lors de ce relevé. Le décompte a bougé pendant le week-end, et chaque chiffre figure ci-dessous avec sa source et son heure.

La cause ne repose plus sur un seul média. Cointelegraph a rapporté le 2 novembre que THORChain imputait la pause à une réorganisation d’Ethereum et à un remboursement défectueux. Le message de THORChain sur X n’a pas pu être ouvert : son récit nous parvient de seconde main, par les médias qui le relaient. Bitcoin.com donne le même enchaînement, Chainalysis décrit le même double remboursement, et Crypto Briefing l’avait rapporté le premier le 31 octobre. Aucun des médias consultés n’a publié le hash de la transaction, et les données des nœuds ne permettent ni de prouver ce récit ni de l’écarter.

THORChain swap suspendu : ce que trois médias ont rapporté samedi

The Defiant et TokenPost ont publié l’information vers 17 h 44 UTC le 31 octobre. Les deux parlent de swaps suspendus sur 12 chaînes, avec la signature des transactions sortantes toujours active sur la plupart d’entre elles : les paiements peuvent donc partir alors que les nouveaux swaps sont bloqués. TokenPost ne donne aucun montant, ne nomme aucune chaîne et ne cite aucune source. Le corps de l’article de The Defiant n’a pas pu être chargé : seuls son titre et son chapô sont connus.

Crypto Briefing a suivi à 18 h 02 UTC avec la première version détaillée. Le média affirme que 12 des 13 chaînes prises en charge avaient cessé d’échanger, que l’arrêt pouvait durer jusqu’à 720 blocs (environ 1 h 30, écrit-il) et que des votes des nœuds pouvaient le prolonger. Il ajoute que l’erreur a été repérée alors que le second remboursement était déjà parti.

« Le protocole a repéré l’erreur après l’avoir commise, pas avant », écrit le média. Chainalysis est la seule source qu’il cite.

Ce qui a déraillé : un remboursement de fonds jamais reçus par le coffre

L’enchaînement qui suit est celui de THORChain, tel que le relaie Cointelegraph. Une réorganisation d’Ethereum d’un seul bloc a supprimé un dépôt de 10 ETH que THORChain avait déjà crédité. Le swap associé a ensuite manqué sa limite de prix, et THORChain a remboursé des fonds que son coffre n’avait jamais reçus. Le vrai dépôt de l’expéditeur a lui aussi été remboursé. Environ 10 ETH de trop sont sortis du protocole, et une pause automatique s’est déclenchée.

Bitcoin.com ajoute que les protections automatiques de solvabilité de THORChain ont arrêté le traitement d’Ethereum, et dit n’avoir relevé aucun indice d’intention malveillante. Les réglages des nœuds ne montrent pas ce point : les drapeaux de suspension pour solvabilité d’Ethereum sont à 0 dans nos deux relevés, ce qui peut simplement signifier qu’ils n’ont jamais été posés ou qu’ils ont été levés depuis. Les développeurs prévoyaient de modifier la façon dont THORChain observe et finalise les transactions pendant qu’ils traitent le déficit du coffre, selon le même média.

La faille comporte aussi un risque propre. L’équipe de THORChain prévient, selon Cointelegraph, que la faille étant désormais publique, « un acteur malveillant pourrait effectuer une nouvelle transaction avec le même nonce » après une réorganisation sur n’importe quelle chaîne externe et « serait payé par les coffres de THORChain ». Il n’y a pas de calendrier. « Les nœuds décideront de réactiver les chaînes lorsqu’elles seront jugées sûres », a indiqué THORChain, cité par Cointelegraph : les chaînes reviendront donc une à une.

10, 11 ou 12 chaînes : qui a compté quoi, et quand

Les chiffres en circulation diffèrent surtout parce qu’ils ont été relevés à des moments différents.

Coindaro a d’abord interrogé l’API THORNode via la passerelle Liquify vers 05 h 50 UTC le 1er novembre, au bloc 28 484 722, et les réglages de suspension étaient identiques à ceux d’un relevé de 05 h 42 UTC. La liste des adresses entrantes montre 13 chaînes externes. Onze sont marquées comme suspendues. Avalanche et XRP Ledger ne le sont pas.

Le passage de 11 à 10 est clair. Base était suspendue lors de notre premier relevé et ouverte lors du second, au bloc 28 498 357, et c’est la seule chaîne à avoir changé d’état. Le décompte de 10 donné par The Block à 13 h 20, heure de New York, dimanche, soit vers 18 h 20 UTC, situe la réouverture avant cette heure.

Le passage de 12 à 11 ne l’est pas. Une chaîne a pu reprendre après les articles de samedi, ou les médias ont pu compter autrement : rien ne permet de trancher. Le chiffre de 12 de Bitcoin.com, publié après les 10 de The Block, se lit comme l’étendue de l’arrêt et non comme le nombre de chaînes fermées à cette heure. Le même article écrit que l’interruption « a duré plusieurs heures, le rétablissement se poursuivant chaîne par chaîne », ce qui ne colle pas avec les données des nœuds pour la plupart des chaînes : 10 restaient fermées le 2 novembre.

Tous ces décomptes appellent la même réserve. Zcash, Solana et Cosmos Hub étaient déjà suspendues le 19 octobre, d’après notre relevé précédent. Impossible de dire si elles avaient rouvert avant ce week-end : le nombre de chaînes arrêtées par cet incident pourrait donc être inférieur à chacun d’eux.

Les réglages qui sous-tendent ces états, publiés dans les paramètres Mimir du réseau, en disent plus que le simple décompte. La pause globale des nœuds, NODEPAUSECHAINGLOBAL, vaut 28 476 550. La documentation de THORChain précise que cette valeur est le bloc auquel la pause se termine, qu’une pause demandée par un nœud dure 720 blocs et que d’autres nœuds peuvent la prolonger. Le bloc 28 476 550 a été produit à 15 h 35 min 57 s UTC le 31 octobre, environ deux heures avant les premiers articles retrouvés. Cette valeur, inchangée le 2 novembre, n’indique pas quand la pause a commencé ; l’heure de 11 h 34 UTC vient de THORChain, via Cointelegraph.

Ce qui tient les swaps fermés aujourd’hui, ce sont des interrupteurs par chaîne. Le 2 novembre, HALTETHTRADING et les drapeaux équivalents de huit autres chaînes étaient à 1, tandis que HALTBASETRADING était revenu à 0. Celui de Tron porte une hauteur de bloc, 28 476 980, produite à 16 h 20 min 49 s UTC le 31 octobre. Selon The Block, le trading depuis Tron est arrêté depuis la mi-journée de samedi environ. Les interrupteurs globaux HALTTRADING et HALTCHAINGLOBAL sont tous deux à 0. La signature n’est coupée que sur deux chaînes, via HALTSIGNINGGAIA et HALTSIGNINGSOL. Un drapeau de trading ETH suspendu à côté d’une signature ETH ouverte correspond à la description de samedi : nouveaux swaps bloqués, paiements autorisés. Bitcoin.com dit la même chose de certains paiements sortants déjà engagés.

Les drapeaux de suspension du vérificateur de solvabilité sont à 0 pour les chaînes concernées, à l’exception d’une ancienne entrée pour Cosmos Hub. Ce vérificateur avait arrêté les chaînes touchées en moins d’une heure lors de l’attaque de mai. La documentation décrit aussi une protection automatique capable de déclencher des suspensions de signature et de trading par chaîne : la seule liste Mimir ne dit donc pas qui, ou quoi, a posé les drapeaux actuels. Cointelegraph, qui relaie THORChain, qualifie la première pause d’automatique, écrit que les opérateurs de nœuds ont suspendu les swaps sur les 10 réseaux et laisse la reprise aux nœuds.

D’autres pans du protocole sont aussi fermés. HALTCHURNING était toujours à 1 le 2 novembre, les nœuds ne tournent donc plus. PAUSELOANS et HALTMEMOLESS l’étaient aussi, et le 1er novembre les dépôts de liquidité étaient suspendus sur 15 des 36 pools disponibles. Ces drapeaux ne peuvent pas être datés : certains sont peut-être antérieurs à l’incident.

Un accident qui a freiné l’argent de Binance

La pause ne visait pas l’argent volé : tous les récits consultés décrivent un accident. Elle l’a pourtant freiné. « THORChain vient de retarder par inadvertance le blanchiment d’une somme importante de fonds volés à Binance », a déclaré Chainalysis, citée par Cointelegraph. La société ajoute que la pause empêche « tous les utilisateurs, y compris les blanchisseurs de la Corée du Nord » de recourir aux swaps inter-chaînes. Le lien va donc dans un seul sens : le bug a produit le retard, les fonds de Binance n’ont pas produit le bug.

Notre version du 1er novembre disait n’avoir trouvé aucune déclaration de ce type. Bitcoin.com a depuis renvoyé au message de Chainalysis sur X et cite la société sur ce point : une réorganisation a conduit THORChain, écrit-elle, à émettre « à tort un double remboursement à quelqu’un qui avait déposé 10 ETH ». Ces mots nous viennent des deux médias, pas du message lui-même.

The Block a rapporté le 1er novembre que l’analyste SomaXBT, contributeur de la Security Alliance, comptait environ 242 millions de dollars blanchis depuis Tron en deux jours, dont 44 millions via THORChain.

Notre couverture du piratage de Binance a rapporté qu’une partie des fonds volés avait transité par THORChain, en citant l’enquêteur ZachXBT et un article de CoinDesk qui s’appuie sur Elliptic. Ce sont des affirmations sur des fonds passés par le protocole avant la pause, pas sur ses raisons. La position de longue date de THORChain est qu’il n’a aucun moyen de bloquer des swaps individuels, seulement d’arrêter une chaîne entière. Threshold a de son côté suspendu tBTC le 31 octobre, là encore sans lien établi avec le piratage.

La demande du FBI et la réponse des cofondateurs

L’arrêt croise une demande sans rapport avec le bug. Le 31 octobre, le FBI, avec le Secret Service américain et l’IRS Criminal Investigation, a publié une alerte attribuant le vol chez Binance au groupe nord-coréen TraderTraitor et appelant les opérateurs de THORNode et d’autres prestataires à bloquer les transactions qui y sont liées. Selon The Block, elle liste 608 adresses Ethereum, 19 adresses bitcoin et une adresse Solana, mais aucune adresse Tron. Bitcoin.com souligne que cette demande est volontaire et ne constitue pas une décision de justice. La page du FBI n’a pas pu être ouverte : ces détails viennent de ces médias.

Chad Barraford, cofondateur technique de THORChain, a répondu sur X samedi soir. « Les opérateurs de THORNode n’ont aucune information qui ne soit déjà publique et disponible en temps réel », a-t-il écrit, d’après The Block, avant d’ajouter : « Pas besoin d’assignation, le meilleur scénario pour les enquêtes. » Ses propos portent sur l’accès à l’information. Ses messages depuis le piratage n’abordent pas la question du blocage des adresses listées par les nœuds, indique The Block.

JP Thor, que Cointelegraph présente comme le fondateur de THORChain et TokenPost comme un cofondateur, s’est élevé contre un arrêt complet plutôt que contre un blocage : « À mon avis, si les THORNodes décidaient de mettre le protocole hors ligne la semaine prochaine, l’expérience serait terminée. » L’alerte du FBI n’en demandait pas tant, note TokenPost.

Après le piratage de mai et le bug Zcash d’octobre

THORChain passe une bonne partie de 2026 à se réparer. Le 15 mai, une faille de son schéma de clés GG20 a permis à un nœud malveillant de reconstituer la clé de l’un des cinq coffres Asgard, avec des pertes d’abord chiffrées à 7,4 millions de dollars puis à environ 10,7 millions. Le réseau n’a redémarré que le 22 juin, comme le consigne notre fiche du projet THORChain. Un pool Zcash a ouvert le 2 octobre, puis a été suspendu après un bug qui a fait trancher 18 comptes de nœuds. La version 3.21.0, une image privée contenant un correctif de sécurité, a été proposée pour le 23 octobre environ.

THORChain a déjà payé deux fois par le passé. La mise à jour de septembre 2023 publiée par le projet explique qu’un pic des frais de gaz d’Ethereum, le 21, avait révélé un cas limite : deux coffres Asgard avaient signé deux fois les mêmes transactions sortantes en ETH. Le vérificateur de solvabilité avait arrêté Ethereum, et les échanges avaient repris environ huit heures plus tard. Mesuré depuis 11 h 34 UTC samedi, l’arrêt actuel durait depuis environ 42 heures lors de notre relevé du 2 novembre, et il se poursuit sur la plupart des chaînes.

Qu’est-ce qu’une réorganisation (reorg) d’Ethereum ?

Une réorganisation survient quand une blockchain remplace ses derniers blocs par une version concurrente. Des transactions que le système tenait pour définitives peuvent alors disparaître ou réapparaître dans un autre bloc. C’est ce que THORChain dit s’être passé ici : un dépôt crédité a disparu avec le bloc écarté, et son traitement ultérieur a payé l’expéditeur deux fois. La transaction n’a pas été publiée, à notre connaissance. Notre guide sur le fonctionnement de la liquidité inter-chaînes détaille le modèle de confiance plus large.

Ce que l’on ignore encore

Plusieurs éléments de base manquent encore : le hash de la transaction, le coffre concerné, la question de savoir si les quelque 10 ETH de trop ont été récupérés, si un autre montant est en jeu, et la date de reprise des swaps. Nous n’avons trouvé aucune déclaration sur le blocage éventuel des adresses du FBI par les nœuds. Aucun article n’a été repéré sur le blog de THORChain le 1er novembre, et rien n’est sorti de THORSwap ni de Nine Realms. X reste illisible pour nous : la formulation exacte de THORChain demeure donc non vérifiée.

Pour un détenteur de RUNE ou un utilisateur en France, la conséquence pratique est simple : THORChain est un protocole décentralisé, sans service client ni guichet vers qui se tourner, et c’est le réseau lui-même qui décide quand rouvrir. Le RUNE, jeton de THORChain, reculait d’environ 20 % sur 24 heures vers 05 h 24 UTC le 2 novembre, dans les données de marché de Coindaro. Aucune source ne relie ce mouvement à la pause, et nous n’avons pas de cours relevé à la même heure.

Une reprise se lirait dans Mimir : les drapeaux de trading par chaîne, HALTETHTRADING en tête, repasseraient à 0.