Eksploitasi $10 Juta THORChain: Apa yang Terjadi dan Mengapa Sistem Vault Bisa Dibobol

Serangan ini menargetkan salah satu Asgard vault milik THORChain. Vault ini adalah sistem penyimpanan multi‑chain yang menahan likuiditas untuk mendukung swap lintas blockchain.

Vault tersebut mengelola aset dari beberapa jaringan sekaligus dan bergantung pada mekanisme penandatanganan terdistribusi yang dijalankan oleh node validator.

Setelah aktivitas mencurigakan terdeteksi, THORChain segera menghentikan perdagangan dan proses penandatanganan transaksi untuk mencegah kerugian tambahan sementara penyelidikan dilakukan.

Bagaimana Kerentanan GG20 Dimanfaatkan

Penjelasan teknis utama yang muncul dari penyelidikan berkaitan dengan implementasi GG20 Threshold Signature Scheme (TSS) milik THORChain—metode kriptografi yang umum digunakan dalam dompet berbasis multi‑party computation (MPC).

Dalam sistem ini, kunci privat tidak disimpan secara utuh di satu tempat. Sebaliknya, kunci dibagi menjadi beberapa bagian yang dimiliki oleh node berbeda. Transaksi hanya bisa ditandatangani jika cukup banyak node menggabungkan bagian kunci mereka.

Penyelidik menduga penyerang menemukan kelemahan dalam implementasi tersebut, kemungkinan berkaitan dengan node validator yang baru ditambahkan ke jaringan. Bukti awal menunjukkan bahwa penyerang dapat secara bertahap mengekstrak atau merekonstruksi material key‑share dari sistem vault.

Setelah cukup informasi kunci terkumpul, penyerang dapat membuat tanda tangan transaksi yang tampak sah dan mengirim penarikan dari vault.

Untungnya, sistem pemantauan otomatis THORChain akhirnya mendeteksi aktivitas abnormal dan menghentikan proses penandatanganan, sehingga membatasi total kerugian.

Laporan yang Bertentangan Tentang Portal Refund

Salah satu bagian paling membingungkan dari insiden ini adalah laporan publik yang saling bertentangan mengenai kompensasi pengguna.

Beberapa laporan media kripto menyebut bahwa THORChain meluncurkan portal pemulihan berbasis self‑custody pada 16 Mei, yang didukung oleh pool dana treasury sebesar $10 juta. Portal tersebut dikabarkan memungkinkan pengguna untuk:

• Memeriksa apakah wallet mereka memenuhi syarat kompensasi
• Mencabut persetujuan token yang berbahaya
• Mengajukan klaim refund

Laporan tersebut menyebut bahwa portal akan dibuka selama 21 hari hingga 4 Juni, dan sekitar 12.847 wallet dinyatakan memenuhi syarat klaim.

Namun laporan lain dan pernyataan yang dikaitkan dengan tim THORChain justru mengatakan hal sebaliknya. Pengembang memperingatkan pengguna tentang portal pemulihan palsu dan akun peniru, serta menyatakan bahwa informasi mengenai refund atau kompensasi yang beredar di internet tidak akurat.

Karena adanya kontradiksi ini, pengguna disarankan hanya mempercayai informasi yang dikonfirmasi langsung melalui kanal resmi THORChain.

Peringatan Penipuan Setelah Eksploitasi

Setelah insiden terjadi, THORChain mengeluarkan peringatan tentang penipuan yang menargetkan korban hack.

Menurut proyek tersebut, beberapa akun mencoba mempromosikan:

• Program refund palsu
• Airdrop yang tidak resmi
• Formulir klaim kompensasi

Fenomena seperti ini cukup umum setelah eksploitasi DeFi besar, karena penyerang atau penipu mencoba memancing pengguna untuk menghubungkan dompet mereka atau menandatangani transaksi berbahaya.

Dampak Pasar: Harga RUNE Turun

Eksploitasi ini juga berdampak langsung pada sentimen pasar terhadap THORChain.

Token asli jaringan, RUNE, turun sekitar 11–12% dalam waktu 24 jam, sempat diperdagangkan di sekitar $0,51 setelah berita serangan muncul.

Penurunan ini mencerminkan kekhawatiran investor terhadap beberapa risiko utama:

• keamanan dompet berbasis MPC
• infrastruktur bridge lintas‑chain
• asumsi kepercayaan terhadap node validator

Masalah tersebut sering kembali menjadi sorotan setiap kali terjadi eksploitasi pada protokol DeFi yang mengelola likuiditas lintas jaringan.

Mengapa Insiden Ini Penting bagi Keamanan DeFi

Kasus THORChain menyoroti risiko struktural dalam DeFi modern: infrastruktur lintas‑chain sering memusatkan risiko pada sistem tanda tangan kriptografi.

Protokol seperti THORChain mengandalkan multi‑party computation dan threshold signatures untuk mengelola aset di beberapa blockchain sekaligus. Jika sistem tersebut memiliki kerentanan—atau jika node validator bertindak jahat—aset dari beberapa jaringan bisa terekspos pada saat yang sama.

Insiden ini juga menunjukkan bahwa komunikasi setelah eksploitasi kini menjadi bagian penting dari keamanan. Informasi yang membingungkan tentang portal pemulihan atau kompensasi dapat memperburuk kerugian jika pengguna tertipu oleh situs atau tautan palsu.

Apa yang Terjadi Selanjutnya

Penyelidikan terhadap eksploitasi ini masih berlangsung. Peneliti keamanan blockchain dan perusahaan analitik sedang melacak aliran dana yang dicuri untuk mengidentifikasi pergerakan aset penyerang.

Beberapa laporan menyebut alamat penyerang telah menerima pendanaan beberapa minggu sebelum serangan, yang menunjukkan kemungkinan adanya perencanaan sebelumnya.

Di sisi lain, pengembang THORChain sedang mengevaluasi peningkatan pada infrastruktur kriptografi mereka, termasuk kemungkinan memperbarui atau mengganti sistem threshold signature yang terdampak.

Sampai laporan pasca‑insiden resmi dirilis, kejadian ini menjadi pengingat bahwa bahkan protokol DeFi yang kompleks dan mapan pun masih dapat menghadapi kerentanan kritis—dan bahwa transparansi selama proses pemulihan sama pentingnya dengan perbaikan teknis yang dilakukan setelahnya.