THORChain 1000万美元漏洞：Asgard金库、GG20签名漏洞与退款门户真相

在检测到异常后，THORChain 立即 暂停交易与签名操作，阻止进一步资金外流。

攻击原理：GG20 阈值签名漏洞

目前最主要的技术解释指向 THORChain 的 GG20 Threshold Signature Scheme（阈值签名系统） 实现问题。

GG20 是一种用于 多方计算（MPC）钱包 的密码学方案，其设计目标是避免单点私钥风险：

• 私钥不会存在单一节点
• 每个节点持有 私钥的一部分（key share）
• 只有当足够多节点参与时才能生成有效签名

理论上，这能防止单个节点控制资金。

然而调查人员认为，在 THORChain 的实现中存在漏洞。证据显示攻击可能与 一个新加入的验证节点 有关。

攻击过程可能如下：

1. 攻击者控制或运行一个恶意节点
2. 利用 GG20 实现漏洞 逐步泄露密钥份额信息
3. 最终拼接出足够的私钥材料
4. 生成合法签名并执行未经授权的提款

由于交易签名看起来“合法”，系统在初期无法立即识别为攻击。

最终，THORChain 的监控系统检测到异常并暂停签名，从而限制了损失规模。

“退款门户”报道为何出现混乱

此次事件中最令人困惑的部分之一，是关于 是否存在退款或赔偿计划 的公开信息互相矛盾。

一些加密媒体报道称：

• THORChain 在 5月16日 推出了一个 自托管恢复门户
• 资金来自 1000万美元的国库赔付池
• 受影响用户可以：
  • 查询是否符合赔付资格
  • 撤销恶意代币授权
  • 提交退款申请

这些报道还称：

• 12,847 个钱包地址 被认定为受影响用户
• 申请窗口 21天
• 截止日期为 6月4日。

但与此同时，另一些报道引用 THORChain 团队声明称：

• 并 没有官方赔偿计划
• 网络上出现了大量 假冒退款、空投或赔偿页面
• 用户不应点击未经验证的链接。

因此，关于所谓的“退款门户”仍存在明显信息冲突。安全建议是：

除非通过 THORChain 官方渠道确认，否则不要连接钱包或提交任何索赔。

攻击后诈骗活动激增

THORChain 在社交平台上提醒用户，黑客事件之后往往会出现第二波攻击——钓鱼诈骗。

项目团队表示已经发现多种假冒活动，例如：

• 伪造退款计划
• 假空投
• 假赔偿申请

这些骗局通常诱导用户连接钱包或签署交易，从而进一步盗取资产。

市场影响：RUNE 价格快速下跌

安全事件公布后，THORChain 原生代币 RUNE 出现明显波动。

数据显示：

• 24小时内 下跌约11%–12%
• 价格一度跌至 约0.51美元。

投资者担忧主要集中在三个方面：

• MPC钱包和阈值签名安全性
• 跨链桥和跨链流动性系统风险
• 验证节点的信任假设

这些问题也是 DeFi 历次重大漏洞中经常出现的系统性风险。

为什么这次漏洞对DeFi意义重大

THORChain 事件再次暴露了 跨链金融基础设施的集中风险点。

在传统 DeFi 协议中，风险通常局限在单一链上。而跨链协议必须通过 签名系统或桥接机制 管理多个链的资产。

如果这些系统出现漏洞：

• 多条链上的资金可能 同时暴露
• 单个攻击点可能导致 跨链级别损失。

此外，此次事件还显示出另一种新型风险：

攻击后的信息混乱本身也可能成为攻击面。

假冒退款网站、钓鱼链接和虚假公告，可能让已经受损的用户再次被骗。

接下来会发生什么

事件调查仍在进行中。链上分析机构已经开始追踪攻击者地址和资金流动轨迹。

部分分析表明，攻击钱包在事件发生 数周前就已被资金准备，这意味着攻击可能是经过计划的行动，而不是临时漏洞利用。

THORChain 开发团队正在评估多项安全改进，包括：

• 修补 GG20 实现
• 升级或替换阈值签名系统
• 加强节点安全审查

完整的技术复盘（post‑mortem）尚未发布。

但这次事件已经再次提醒整个加密行业：

跨链协议的密码学基础设施，是DeFi生态中最关键、也最脆弱的安全边界之一。