GoPlus: THORChain ist kein dezentrales Protokoll

Das Sicherheitsunternehmen GoPlus Security stellt die Behauptung von THORChain infrage, das Protokoll sei ebenso dezentralisiert wie Bitcoin oder Ethereum. Anlass ist der Strom gestohlener Gelder, darunter Mittel mit Verbindungen zu nordkoreanischen Hackern, die über THORChain gewaschen werden. GoPlus zufolge verfügt das Protokoll über die technischen Mittel, um einzugreifen, entscheidet sich aber dagegen, während es zugleich Millionen an Transaktionsgebühren einnimmt.

Das Wichtigste in Kürze:

GoPlus argumentiert, dass THORChain sich strukturell von Bitcoin und Ethereum unterscheidet, weil die Validatoren gemeinsam die Kontrolle über die Gelder in den sogenannten TSS-Vaults haben.
Das Protokoll verfügt über eingebaute Mechanismen, um Transaktionen zu pausieren oder zu blockieren, und hat diese bereits bei einem eigenen Exploit eingesetzt.
Über THORChain wurden beim Bybit-Hack rund 5,5 Millionen Dollar an Gebühren generiert; beim jüngsten Bitget-Hack steigt dieser Betrag ebenfalls bereits an.

TSS-Vaults sind kein Basis-Layer-Konsens

GoPlus erklärt, dass Bitcoin und Ethereum grundlegend anders funktionieren als THORChain. Bei Bitcoin und Ethereum verwahren Nutzer ihre eigenen Gelder über private Schlüssel. Validatoren und Miner können eine Transaktion ablehnen, aber niemals selbst Gelder im Namen eines Nutzers versenden.

Bei THORChain ist das anders. Jede ausgehende Transaktion erfordert eine aktive Signatur des aktiven Validatorennetzwerks über eine sogenannte GG20-TSS-Schwellenwertsignatur. Während eines Swaps liegen die Gelder in einem TSS-Vault, der gemeinsam von diesen Validatoren verwaltet wird. GoPlus argumentiert, dass die Freigabe gestohlener Gelder damit kein neutraler technischer Vorgang ist, sondern eine aktive Entscheidung des Validatorennetzwerks.

Das aktive Validatorennetzwerk von THORChain umfasst maximal rund 100 Nodes, mit der Möglichkeit, auf 250 oder mehr zu skalieren. Diese Nodes koordinieren sich aktiv über einen Discord-Kanal und können über Abstimmungsprozesse Entscheidungen zum Protokoll treffen. Das ist GoPlus zufolge wesentlich anders als das anonyme, weltweite Netzwerk der Bitcoin-Miner ohne jeglichen Koordinationsmechanismus.

GoPlusSecurity @GoPlusSecurity

❗️ #THORChain has never been strictly decentralized

@THORChain comparing itself to decentralized L1s like BTC and ETH does not hold. Do not enable criminals — or put the industry at risk — just to take swap fees on stolen funds.

1️⃣ Custody: TSS vaults ≠ base-layer consensus

On BTC/ETH, users control assets with their own keys. Miners/validators order and include txs. They never hold user funds. The worst a single miner can do is refuse to include your tx. They cannot send your coins.

Every THORChain outbound (vault → user/attacker) has to be actively produced by the current active set via a GG20 TSS threshold signature. During a swap, funds sit in a TSS vault jointly controlled by those nodes.

Releasing stolen funds is an active signing event, not “neutral ordering we cannot stop.” As @star_okx put it: from a custody view it is an intermediary between users and native chains. Distributed centralized custody is not decentralization.

2️⃣ Validator set: small, and it can coordinate

Official docs: THORNodes bond RUNE to join. Active-set cap is ~100 (can scale to 250+), with a churn about every 3 days that drops the oldest, slowest, lowest-bond nodes.

Nodes coordinate in real time on Dev Discord’s #mainnet channel — anonymous relays, votes (Mimir / node votes). That is an organization with a comms channel, a voting process, and execution tools. Not BTC/ETH’s globally anonymous set with no coordination path.

3️⃣ Intervention is designed in. There are runbooks. There are precedents.

make pause: one node can halt the network (720 blocks per trigger, stackable). Slogan: “Halt Earn, Halt Often!” Standard is “an abundance of caution.” False trips can be undone with make resume.

Per-chain signing halt: node votes can pause outbound signing on one chain only — the tool needed to stop ETH/BNB → BTC exits without taking the whole network down.

Mimir governance: nodes can vote live to change params, halt trading, halt signing.

Precedent: when THORChain itself was drained in May 2026, they paused and ran a controlled halt to stop further movement.

4️⃣ Inaction pays

In the Bybit case, the attacker washed all 499K ETH in 10 days, mostly through THORChain into BTC. That printed ~$5.9B volume and ~$5.5M fees for THORChain.

In the Bitget case, ~101.5 BTC (≈$8.5M) has already gone out via THORChain, with another ~27.63M XRP (≈$43M) mid-swap into BTC. Potential fee take: hundreds of thousands of dollars.

In Feb 2025, validators voted to intercept DPRK-linked funds, then reversed. Core contributor Pluto, who pushed the intercept, left after that.

5️⃣ “THORChain is just like BTC” mixes up two different systems. See the comparison screenshot.

⚠️ A per-chain halt / outbound reject on FBI- and OFAC-attributed DPRK addresses and funds fits THORChain’s own “funds-at-risk” emergency framework. THORChain should do the job. Do not put the industry at risk for the fee line.

27 Sept 2026View full tweet on X ›

Eingebaute Pausemechanismen und frühere Präzedenzfälle

THORChain verfügt über mehrere eingebaute Instrumente, um einzugreifen. Eine einzelne Node kann das Netzwerk bereits vorübergehend stilllegen, und zwar über das sogenannte “make pause”-Kommando. Zudem ist es möglich, die ausgehenden Transaktionen einer bestimmten Blockchain zu pausieren, ohne das gesamte Netzwerk offline zu nehmen. Über die Mimir-Governance können Nodes außerdem in Echtzeit Parameter anpassen, den Handel stilllegen oder Transaktionen blockieren.

GoPlus weist darauf hin, dass THORChain diese Mechanismen bereits früher genutzt hat. Als das Protokoll selbst im Mai 2026 von einem Exploit getroffen wurde, wurde das Netzwerk innerhalb von zwei Stunden pausiert, um weiteren Schaden zu verhindern. Bereits im Februar 2025 stimmten die Validatoren zunächst dafür, Gelder abzufangen, die mit Nordkorea in Verbindung gebracht wurden, nahmen diese Entscheidung später jedoch zurück. Der Kernbeitragende Pluto, der für das Eingreifen plädiert hatte, verließ das Projekt danach.

Millionen an Gebühren auf gestohlenen Geldern

GoPlus rechnet vor, was das Nichteingreifen einbringt. Beim Bybit-Hack wurden 499.000 ETH innerhalb von zehn Tagen über THORChain gewaschen, was dem Protokoll rund 5,5 Millionen Dollar an Gebühren einbrachte. Beim jüngsten Bitget-Hack gingen bereits rund 101,5 BTC (etwa 8,5 Millionen Dollar) über THORChain hinaus, daneben rund 27,63 Millionen XRP (circa 43 Millionen Dollar), die mid-swap in Bitcoin umgewandelt werden. Die potenziellen Gebühreneinnahmen daraus belaufen sich auf Hunderttausende Dollar.

GoPlus kommt zu dem Schluss, dass eine Blockade pro Chain von Adressen und Geldern, die von der FBI und OFAC mit Nordkorea in Verbindung gebracht werden, in den eigenen Notfallrahmen von THORChain für Situationen passt, in denen Gelder gefährdet sind. Die Kritik von GoPlus knüpft an die frühere Debatte über die Rolle von THORChain bei der Ermöglichung illegaler Geldströme an sowie an die frühere Forderung des Bitget-CEO, Hackeradressen zu blockieren.