THORChain Confirma Ataque a um Cofre (Vault) Asgard, com Perdas Estimadas em US$ 10,7 Milhões
THORChain Confirma Ataque a um Cofre (Vault) Asgard, com Perdas Estimadas em US$ 10,7 Milhões
Em 15 de maio de 2026, a THORChain confirmou que um de seus cofres Asgard foi comprometido, resultando em uma perda estimada de aproximadamente US$ 10,7 milhões e uma interrupção temporária das atividades de negociação enquanto a equipe e os operadores de nós investigam e implementam medidas corretivas. Atualizações públicas indicam que fundos de usuários não foram a principal fonte da perda; em vez disso, evidências iniciais apontam para fundos de propriedade do protocolo como os afetados, com mecanismos de segurança automatizados limitando danos adicionais. Você pode acompanhar a cobertura da mídia através de reportagens da Cointelegraph e The Block, além de reportagens focadas no incidente pela The Defiant.
Este evento importa mais do que um único protocolo: a THORChain está na intersecção de liquidez entre cadeias (cross-chain), segurança operada por validadores e infraestrutura de cofres de alto valor — um espaço de design que continua a atrair tanto inovação quanto ataques sofisticados.
O que aconteceu (linha do tempo geral)
Com base nas comunicações de incidentes da própria THORChain e no monitoramento da comunidade, os pontos principais são:
- Um único cofre Asgard apresentou sinais de comprometimento, e a rede rapidamente adotou uma postura defensiva, pausando negociações e assinaturas de saída (outbound signing) para reduzir o risco de movimentação contínua de fundos. Relatórios indicam que 1 de 6 cofres Asgard foi suspeito de ser afetado. Veja a cobertura resumida pela The Defiant e a cobertura de mercado geral pela Cointelegraph.
- Detecção automatizada e controles de interrupção foram ativados. A arquitetura da THORChain suporta interrupções em nível de rede e cadeia através de governança e parâmetros de segurança, projetados para parar a atividade de saída quando os limites de risco são atingidos (documentação: Network Halts).
- Slashing foi acionado para os nós envolvidos devido a transferências consideradas não autorizadas pelas regras do protocolo, reforçando a promessa central de segurança da THORChain: os operadores de nós colocam capital (RUNE em stake) em risco se se comportarem de maneira inadequada. As mecânicas de slashing da THORChain são descritas em sua documentação técnica sobre comportamento de cofres (veja Vault Behaviors).
No momento da escrita (15 de maio de 2026), as investigações estão em andamento e os detalhes podem evoluir. Se você depende da THORChain para swaps ou provisão de liquidez, trate isso como um incidente ativo e siga as atualizações oficiais de status.
Por que um incidente em um cofre Asgard é um grande problema
A THORChain é melhor compreendida como uma rede de cofres e liquidação entre cadeias (cross-chain vault and settlement network). Em vez de envolver ativos (wrapping) ou depender de uma única chave custodiante, a THORChain utiliza cofres com Threshold Signature Scheme (TSS) operados por um conjunto rotativo de validadores. Este design é documentado nas explicações da arquitetura da THORChain, incluindo Bifrost, TSS and Vaults e detalhes sobre como os cofres são fragmentados (sharded) e gerenciados ao longo do tempo em Vault Behaviors.
Os cofres Asgard são centrais porque detêm a liquidez usada para executar swaps entre cadeias. Quando algo dá errado na camada de cofres, o raio de explosão pode se estender por várias cadeias — exatamente o tipo de "área de superfície multichain" que os atacantes preferem.
Os disjuntores embutidos que ajudaram a conter o dano
Uma das conclusões mais importantes não é apenas que ocorreu uma exploração, mas que a rede reagiu interrompendo a atividade de saída.
A THORChain suporta explicitamente mecanismos para interromper assinaturas e transferências de saída sob condições definidas, inclusive quando eventos de slashing excedem os limites configurados. A intenção é clara: quando a rede detecta um comportamento que parece ser de movimentação incorreta de fundos, ela deve falhar de forma segura (fail safe) em vez de falhar aberta (fail open). A THORChain descreve esses controles em sua documentação para desenvolvedores sobre Network Halts e seu modelo de segurança mais amplo em Network Security and Governance.
Do ponto de vista da segurança DeFi, esses disjuntores são importantes porque sistemas entre cadeias não têm o luxo de "reverter" uma cadeia. Suas melhores defesas geralmente são:
- detecção rápida de anomalias,
- a capacidade de pausar caminhos mais arriscados (liquidação de saída),
- e incentivos claros e pré-acordados que punem operadores maliciosos ou negligentes.
Fundos de usuários vs. fundos de propriedade do protocolo: como interpretar a distinção
As declarações iniciais da THORChain e as primeiras reportagens sugerem que o valor afetado era de propriedade do protocolo, enquanto os fluxos de swap típicos dos usuários não foram amplamente impactados. Esta é uma distinção significativa, mas os usuários devem interpretá-la com cuidado:
- Em protocolos entre cadeias, "fundos de usuários estão seguros" geralmente significa que os saldos dos usuários não foram drenados diretamente de suas carteiras pessoais, e o sistema acredita que a alocação afetada no cofre não foi primariamente originada de transferências iniciadas pelo usuário.
- No entanto, mesmo quando a perda é categorizada como de propriedade do protocolo, um incidente ainda pode criar risco secundário para os usuários através de tempo de inatividade, liquidações atrasadas, interrupções de roteamento ou impacto mais amplo no mercado.
Se você iniciou um swap próximo à janela de interrupção, sua prioridade deve ser verificar a finalidade na cadeia de origem e confirmar se a etapa de saída foi concluída – especialmente em cenários de roteamento entre cadeias.
Por que o "churn" foi pausado e o que isso sinaliza operacionalmente
A THORChain usa um processo chamado churn para rotacionar conjuntos de validadores e a associação dos cofres. Em condições normais, o churn melhora a segurança ao longo do tempo, limitando o tempo que um grupo fixo controla o poder de assinatura. Os documentos de operações de nós da THORChain delineiam a cadência típica de churn e conceitos de ciclo de vida do validador (veja Node Operations).
Durante um incidente, pausar o churn é uma medida racional porque:
- o churn altera a associação dos cofres e a dinâmica de assinatura,
- pode complicar a análise forense,
- e aumenta a carga operacional no pior momento possível.
Em resumo: estabilidade primeiro, depois recuperação.
O ângulo da responsabilidade do validador: stake (bonding) e slashing ainda importam
A segurança entre cadeias, em última análise, depende do custo de atacar o sistema. O modelo da THORChain depende de nós que fazem stake de RUNE, e que depois enfrentam penalidades se assinarem ou habilitarem transferências inválidas.
Se o slashing for aplicado corretamente, ele cumpre dois propósitos:
- Ajuda a dissuadir o comportamento malicioso, tornando os ataques caros.
- Reduz o risco moral ao punir a segurança operacional deficiente (por exemplo, infraestrutura comprometida ou práticas inseguras de gerenciamento de chaves).
A THORChain documenta a relação entre o comportamento do cofre e o slashing em Vault Behaviors, e descreve as suposições de segurança e os incentivos da rede em Network Security and Governance.
Por que isso se encaixa em uma tendência mais ampla de 2025-2026: o "imposto de segurança" sobre liquidez entre cadeias
Mesmo com a melhoria da UX entre cadeias, a indústria ainda está pagando um "imposto de segurança" crescente. Dashboards de dados como o banco de dados de hacks da DeFiLlama tornam o padrão difícil de ignorar: os atacantes se concentram em sistemas onde uma única fraqueza pode desbloquear valor em várias cadeias.
É também por isso que as narrativas pós-incidente tendem a se concentrar em:
- gerenciamento de chaves e segurança operacional,
- aplicação de políticas de assinatura,
- risco de dependência em pilhas (stacks) complexas entre cadeias,
- e se os gatilhos de monitoramento e interrupção foram calibrados corretamente.
Para contexto histórico sobre meses de grandes perdas, relatórios como os resumos de perdas da indústria da Immunefi ajudam a enquadrar a rapidez com que o risco pode escalar (veja o relatório da Immunefi: Crypto Losses February 2025).
Orientações práticas para usuários neste momento
Enquanto a THORChain e os operadores de nós trabalham na investigação e correção, considere o seguinte:
-
Evite transações apressadas durante interrupções parciais Se a negociação ou assinatura estiver pausada, as interfaces (frontends) podem exibir estados inconsistentes. Espere por confirmação clara de que a atividade de saída foi retomada.
-
Verifique os resultados na blockchain, não apenas na interface do usuário Para qualquer swap entre cadeias, confirme independentemente a transação na cadeia de origem e o recebimento na cadeia de destino.
-
Trate mensagens de "suporte de recuperação" como hostis por padrão Após explorações, o phishing aumenta. Não conecte carteiras a sites desconhecidos de "reembolso" nem assine mensagens arbitrárias.
-
Reverifique aprovações e permissões (usuários EVM) Se você usou roteadores ou contratos inteligentes recentemente, revise as aprovações de tokens e revogue qualquer desnecessário usando ferramentas confiáveis.
Onde uma carteira de hardware como a OneKey se encaixa nesta conversa
Este incidente parece estar enraizado em operações de cofre/segurança do lado do protocolo, não em comprometimento de chaves privadas de usuários finais. Ainda assim, reforça uma regra atemporal: os usuários devem controlar suas chaves com segurança offline robusta — especialmente ao interagir com aplicativos DeFi e entre cadeias, onde a complexidade das transações é alta.
Uma carteira de hardware como a OneKey pode ajudar mantendo suas chaves privadas isoladas de dispositivos potencialmente comprometidos e fornecendo um fluxo de assinatura mais claro e deliberado para ações de maior risco (aprovações, interações com contratos e grandes transferências). Em janelas de incidentes voláteis — quando golpistas estão ativos e os estados da interface do usuário podem ser confusos — uma assinatura mais lenta e focada na verificação é um recurso, não uma falha.
À medida que a THORChain publica descobertas técnicas mais aprofundadas e detalhes de remediação, os sinais mais importantes a serem observados são: a causa raiz confirmada, se a correção reduz a superfície de ataque sistêmica e com que eficácia o slashing e os requisitos operacionais alinham os incentivos para a segurança dos nós daqui para frente.
