Aggiornamento del 2 novembre 2026, 05:55 UTC: THORChain ha indicato una causa, secondo Cointelegraph: una riorganizzazione di Ethereum di un solo blocco ha cancellato un deposito da 10 ETH già accreditato, e i rimborsi successivi hanno pagato circa 10 ETH di troppo. Gli blockchain, where users swap tokens directly from their own wallets without handing custody of their funds to a company.">swap restano sospesi su 10 catene su 13, contro le 11 rilevate smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il 1° novembre, perché Base ha riaperto, secondo i dati dei nodi letti alle 05:44 UTC del 2 novembre. I nodi riapriranno le catene una alla volta e non è stata comunicata alcuna data. La dichiarazione di Chainalysis secondo cui l’incidente ha ritardato il riciclaggio di fondi rubati a Binance ci arriva ora tramite Cointelegraph e Bitcoin.com.
Gli swap su THORChain risultavano ancora sospesi su 10 delle 13 catene collegate alle 05:44 UTC di lunedì 2 novembre, secondo i dati dei nodi della rete letti da Coindaro. Tra queste ci sono Bitcoin, Ethereum, Solana e Tron; Avalanche, Base e XRP Ledger sono aperte. THORChain fa risalire l’inizio dello stop alle 11:34 UTC di sabato 31 ottobre, secondo Cointelegraph: al momento di quella lettura durava quindi da circa 42 ore. Il conteggio è cambiato nel corso del fine settimana, e ogni cifra qui sotto riporta fonte e orario.
La causa non poggia più su una sola testata. Cointelegraph ha riferito il 2 novembre che THORChain riconduce la pausa a una riorganizzazione di Ethereum e a un rimborso difettoso. Il post di THORChain su X non si è potuto aprire, quindi la sua versione arriva di seconda mano, attraverso le testate che la riportano. Bitcoin.com ricostruisce la stessa sequenza, Chainalysis descrive lo stesso doppio rimborso e Crypto Briefing ne aveva scritto per prima il 31 ottobre. Nessuna delle testate consultate ha pubblicato l’hash della transazione, e i dati dei nodi non provano né smentiscono il racconto.
Swap THORChain sospesi: cosa hanno scritto tre testate sabato
The Defiant e TokenPost hanno pubblicato la notizia intorno alle 17:44 UTC del 31 ottobre. Entrambe parlavano di swap sospesi su 12 catene, con la firma dei pagamenti in uscita ancora attiva sulla maggior parte di esse: i pagamenti potevano quindi partire, anche se i nuovi swap restavano bloccati. TokenPost non indicava importi, non nominava le catene e non citava fonti. Il testo dell’articolo di The Defiant non si è caricato, quindi di quel pezzo sono noti soltanto il titolo e il sommario.
Crypto Briefing è arrivata alle 18:02 UTC con la prima versione dettagliata. Secondo l’articolo, 12 delle 13 catene supportate avevano fermato gli scambi, lo stop poteva durare fino a 720 blocchi (la testata scrive circa un’ora e mezza) e i voti dei nodi potevano prolungarlo. L’errore, sempre secondo il pezzo, sarebbe stato individuato quando il secondo rimborso era già partito.
«Il protocollo ha individuato l’errore dopo averlo commesso, non prima», scrive la testata. Chainalysis è l’unica fonte che cita.
Cosa è andato storto: il rimborso di fondi mai arrivati al vault
La sequenza che segue è quella di THORChain, così come la riporta Cointelegraph. Una riorganizzazione di Ethereum di un solo blocco ha eliminato un deposito da 10 ETH che THORChain aveva già accreditato. Lo swap collegato ha poi mancato il limite di prezzo, e THORChain ha rimborsato fondi mai ricevuti dal vault. Anche il deposito reale del mittente è stato rimborsato. Dal protocollo sono usciti circa 10 ETH di troppo ed è scattata una pausa automatica.
Bitcoin.com aggiunge che le protezioni automatiche di solvibilità di THORChain hanno fermato l’elaborazione su Ethereum, e riferisce di non aver trovato indizi di dolo. Le impostazioni dei nodi non mostrano questo passaggio: i flag di arresto per solvibilità di Ethereum valgono 0 in entrambe le nostre letture, il che può significare soltanto che non sono mai stati attivati o che nel frattempo sono stati azzerati. Gli sviluppatori prevedevano di modificare il modo in cui THORChain osserva e finalizza le transazioni mentre affrontano l’ammanco del vault, secondo la stessa testata.
La falla comporta anche un rischio proprio. Il team di THORChain avverte, secondo Cointelegraph, che ora la falla è pubblica e «un attore malevolo potrebbe eseguire una nuova transazione con lo stesso nonce» dopo una riorganizzazione su una qualsiasi catena esterna, e «verrebbe pagato dai vault di THORChain». Non c’è un calendario. «I nodi decideranno di riattivare le catene quando saranno ritenute sicure», ha fatto sapere THORChain, citata da Cointelegraph: le catene torneranno quindi una alla volta.
10, 11 o 12 catene: chi ha contato cosa, e quando
Le cifre in circolazione differiscono soprattutto perché sono state rilevate in momenti diversi.
| Fonte | Quando | Catene sospese |
|---|---|---|
| The Defiant, TokenPost | Intorno alle 17:44 UTC, 31 ott | 12 |
| Crypto Briefing | 18:02 UTC, 31 ott | 12 su 13 |
| Coindaro, dati dei nodi | 05:50 UTC, 1° nov | 11 su 13 (Avalanche e XRP Ledger aperte) |
| The Block, dati dei nodi | 18:20 UTC, 1° nov | 10 su 13 |
| Bitcoin.com | Pubblicato intorno alle 19:30 UTC, 1° nov | 12 su 13, come estensione dello stop |
| Cointelegraph, pagina di stato di THORChain | 2 nov, orario non indicato | 10 (Avalanche, Base e XRP attive) |
| Coindaro, dati dei nodi | 05:44 UTC, 2 nov | 10 su 13 (Avalanche, Base e XRP Ledger aperte) |
L’API THORNode, interrogata una prima volta tramite il gateway di nodi Liquify alle 05:50 UTC circa del 1° novembre, al blocco 28.484.722, mostra impostazioni di stop identiche a quelle di una lettura delle 05:42 UTC. L’elenco degli indirizzi in ingresso riporta 13 catene esterne. Undici sono segnate come sospese. Avalanche e XRP Ledger no.
| Stato alle 05:50 UTC, 1° nov | Catene | Numero |
|---|---|---|
| Scambi sospesi, firma in uscita attiva | Base, Bitcoin Cash, BNB Chain, Bitcoin, Dogecoin, Ethereum, Litecoin, Tron, Zcash | 9 |
| Scambi sospesi, firma in uscita sospesa | Cosmos Hub, Solana | 2 |
| Non sospese, firma in uscita attiva | Avalanche, XRP Ledger | 2 |
Il passaggio da 11 a 10 è chiaro. Base era sospesa alla prima lettura e aperta alla seconda, al blocco 28.498.357, ed è l’unica catena ad aver cambiato stato. Il conteggio di 10 fornito da The Block alle 13:20 ora di New York di domenica, cioè intorno alle 18:20 UTC, colloca la riapertura prima di quell’ora.
Il passaggio da 12 a 11 no. Una catena potrebbe essere ripartita dopo i resoconti di sabato, oppure le testate potrebbero aver contato in modo diverso: quale delle due sia l’ipotesi giusta non è noto. Il 12 di Bitcoin.com, pubblicato dopo il 10 di The Block, si legge come l’estensione dello stop e non come il numero di catene chiuse in quel momento. Lo stesso articolo scrive che l’interruzione «è durata diverse ore, con il ripristino che procedeva su singole catene», il che non coincide con i dati dei nodi per la maggior parte delle catene: 10 erano ancora chiuse il 2 novembre.
Tutti questi conteggi vanno presi con la stessa cautela. Zcash, Solana e Cosmos Hub erano già ferme il 19 ottobre, stando alla precedente rilevazione di Coindaro. Non è possibile stabilire se fossero state riaperte prima di questo fine settimana: il numero di catene fermate da questo incidente potrebbe dunque essere inferiore a ciascuno di essi.
Le impostazioni dietro quegli stati, pubblicate nei parametri Mimir della rete, dicono più del semplice conteggio. La pausa globale dei nodi, NODEPAUSECHAINGLOBAL, vale 28.476.550. La documentazione di THORChain spiega che quel valore è il blocco in cui la pausa termina e che la pausa chiesta da un singolo nodo dura 720 blocchi, con la possibilità che altri nodi la prolunghino. Il blocco 28.476.550 è stato prodotto alle 15:35:57 UTC del 31 ottobre, circa due ore prima dei primi resoconti disponibili. Il valore, invariato il 2 novembre, non indica quando la pausa sia iniziata; l’orario delle 11:34 UTC viene da THORChain, tramite Cointelegraph.
A tenere chiusi gli swap, adesso, sono interruttori per singola catena. Il 2 novembre HALTETHTRADING e i flag corrispondenti di altre otto catene erano impostati a 1, mentre HALTBASETRADING era tornato a 0. Quello di Tron contiene un’altezza di blocco, 28.476.980, prodotta alle 16:20:49 UTC del 31 ottobre. Secondo The Block, gli scambi da Tron sono fermi da circa metà giornata di sabato. Gli interruttori globali HALTTRADING e HALTCHAINGLOBAL valgono entrambi 0. La firma risulta spenta solo su due catene, tramite HALTSIGNINGGAIA e HALTSIGNINGSOL. Un flag di trading su ETH sospeso accanto a una firma su ETH attiva corrisponde alla descrizione di sabato: nuovi swap bloccati, pagamenti consentiti. Bitcoin.com dice lo stesso di alcuni pagamenti in uscita già avviati.
I flag di arresto del controllo di solvibilità valgono 0 per le catene in questione, a parte una vecchia voce relativa a Cosmos Hub. Quel controllo aveva fermato le catene colpite entro un’ora durante l’attacco di maggio. La documentazione descrive inoltre una protezione automatica che può impostare arresti di firma e di trading per singola catena: l’elenco Mimir da solo non dice quindi chi, o che cosa, abbia attivato i flag attuali. Cointelegraph, che riporta THORChain, definisce automatica la prima pausa, scrive che gli operatori dei nodi hanno sospeso gli swap sulle 10 reti e lascia ai nodi la ripartenza.
Anche altre parti del protocollo risultano chiuse. HALTCHURNING era ancora a 1 il 2 novembre, quindi i nodi non ruotano. Lo stesso valeva per PAUSELOANS e HALTMEMOLESS, e il 1° novembre i depositi di liquidità erano sospesi su 15 delle 36 pool disponibili. Questi flag non sono databili, perciò alcuni potrebbero precedere l’incidente.
Un incidente che ha frenato il denaro di Binance
La pausa non era rivolta contro il denaro rubato: tutti i resoconti consultati descrivono un incidente. Quel denaro, però, l’ha rallentato. «THORChain ha appena ritardato inavvertitamente il riciclaggio di una quantità significativa di fondi rubati a Binance», ha dichiarato Chainalysis, citata da Cointelegraph. La società ha aggiunto che la pausa impedisce a «tutti gli utenti, compresi i riciclatori della Corea del Nord» di usare gli swap cross-chain. Il legame va quindi in una sola direzione: il bug ha prodotto il ritardo, i fondi di Binance non hanno prodotto il bug.
La versione del 1° novembre di questo articolo diceva che una simile dichiarazione non si trovava. Bitcoin.com ha poi rimandato al post di Chainalysis su X e cita la società sullo stesso punto: una riorganizzazione ha portato THORChain, scrive, a emettere «erroneamente un doppio rimborso a qualcuno che aveva depositato 10 ETH». Quelle parole arrivano dalle due testate, non dal post in sé.
The Block ha riferito il 1° novembre che l’analista SomaXBT, collaboratore della Security Alliance, ha contato circa 242 milioni di dollari riciclati da Tron in due giorni, 44 milioni dei quali tramite THORChain.
La copertura di Coindaro sull’attacco a Binance aveva riferito che una parte dei fondi rubati è passata da THORChain, citando l’investigatore ZachXBT e un articolo di CoinDesk che riporta Elliptic. Sono affermazioni su denaro transitato dal protocollo prima della pausa, non sul motivo per cui la pausa sia scattata. La posizione storica di THORChain è che non esiste alcun modo di bloccare singoli swap, ma solo di fermare un’intera catena. Anche Threshold ha sospeso tBTC il 31 ottobre, di nuovo senza che emerga un legame con l’attacco.
La richiesta dell’FBI e le risposte dei cofondatori
Lo stop si intreccia con una richiesta che con il bug non c’entra. Il 31 ottobre l’FBI, insieme al Secret Service statunitense e all’IRS Criminal Investigation, ha diffuso un’allerta che attribuisce il furto a Binance al gruppo nordcoreano TraderTraitor e invita gli operatori di THORNode e altri fornitori a bloccare le transazioni collegate. Secondo The Block, l’elenco contiene 608 indirizzi Ethereum, 19 indirizzi bitcoin e uno Solana, nessuno su Tron. Bitcoin.com sottolinea che la richiesta è volontaria e non è un ordine di un tribunale. La pagina dell’FBI non si è potuta aprire: questi dettagli vengono dalle testate citate.
Chad Barraford, cofondatore tecnico di THORChain, ha risposto su X sabato sera. «Gli operatori di THORNode non hanno alcuna informazione che non sia già pubblica e disponibile in tempo reale», ha scritto secondo The Block, aggiungendo: «Nessun mandato necessario, lo scenario migliore per le indagini.» Le sue parole riguardano l’accesso alle informazioni. I suoi post dopo l’attacco non affrontano la questione del blocco degli indirizzi elencati da parte dei nodi, riferisce The Block.
JP Thor, che Cointelegraph definisce fondatore di THORChain e TokenPost cofondatore, si è espresso contro uno spegnimento totale, non contro il blocco: «A mio parere, se i THORNode decidessero di mettere offline il protocollo la settimana prossima, l’esperimento sarebbe finito.» L’allerta dell’FBI non chiedeva tanto, osserva TokenPost.
L’attacco di maggio e il bug di Zcash a ottobre
Il 2026 di THORChain è stato in buona parte dedicato a rimettere in sesto la rete. Il 15 maggio una falla nello schema di chiavi GG20 ha permesso a un nodo malevolo di ricostruire la chiave di uno dei cinque vault Asgard, con perdite stimate prima in 7,4 milioni di dollari e poi in circa 10,7 milioni. La rete è ripartita solo il 22 giugno, come documenta la scheda di THORChain su Coindaro. Il 2 ottobre è stata aperta una pool per Zcash, poi fermata dopo che un bug ha penalizzato 18 account di nodi. La versione 3.21.0, un’immagine privata con una patch di sicurezza, è stata proposta per il 23 ottobre circa.
Non è la prima volta che THORChain paga un doppio pagamento. L’aggiornamento di THORChain del settembre 2023 racconta che un picco delle commissioni gas su Ethereum, il giorno 21, ha fatto emergere un caso limite in cui due vault Asgard hanno firmato due volte le stesse transazioni in uscita su ETH. Il controllo di solvibilità ha fermato Ethereum e gli scambi sono ripartiti dopo circa otto ore. Calcolato dalle 11:34 UTC di sabato, lo stop attuale durava da circa 42 ore alla lettura del 2 novembre, e sulla maggior parte delle catene è ancora in corso.
Cos’è una riorganizzazione di Ethereum
Una riorganizzazione (reorg) avviene quando una blockchain sostituisce i suoi blocchi più recenti con una versione concorrente. Le transazioni che un sistema considerava definitive possono allora sparire o ricomparire in un altro blocco. È quanto THORChain dice sia accaduto in questo caso: un deposito accreditato è sparito con il blocco scartato, e la gestione successiva ha pagato due volte il mittente. La transazione, a quanto risulta, non è stata pubblicata. La guida di Coindaro alla liquidità cross-chain illustra il modello di fiducia più ampio in cui si inserisce il caso.
Cosa resta da chiarire
Mancano ancora diversi elementi di base: l’hash della transazione, il vault coinvolto, se i circa 10 ETH in eccesso siano stati recuperati, se ci siano altri importi e quando gli swap riprenderanno. Non abbiamo trovato dichiarazioni sull’eventuale blocco degli indirizzi segnalati dall’FBI da parte dei nodi. Sul blog di THORChain non è stato individuato alcun post il 1° novembre e da THORSwap o Nine Realms non risulta nulla. X resta illeggibile per noi: la formulazione esatta di THORChain rimane quindi non verificata.
RUNE, il token di THORChain, perdeva circa il 20% nelle 24 ore intorno alle 05:24 UTC del 2 novembre, nei dati di mercato di Coindaro. Nessuna fonte collega quel movimento alla pausa, e non abbiamo un prezzo rilevato alla stessa ora.
Una ripartenza si vedrebbe in Mimir con i flag di trading per singola catena che tornano a 0, HALTETHTRADING compreso.