THORChain遭百万美元攻击：赔偿门户上线，安全漏洞引深思

核心提要：THORChain确认遭遇价值1000万美元的网络攻击，已启动用户赔偿门户。攻击者利用门限签名机制漏洞窃取多条链资产，影响超1.2万个钱包。协议方正推进调查与资金追回，事件暴露DeFi跨链基础设施深层安全隐患。

THORChain重大安全事件全面复盘：攻击路径与应对措施深度解析

THORChain官方证实，其系统遭受一次价值约1000万美元的恶意攻击，并已开启用户资产恢复通道。该平台为受影响用户提供了自主撤销异常代币授权及提交退款申请的功能，同时支持查询个人可获赔金额。据安全团队披露，漏洞在UTC时间5月11日02:14被监测到，当时有节点运营商标记了异常出站交易行为。

跨链攻击波及四条主网，逾万钱包受牵连

攻击发生后，相关交易与出站签名机制在8分钟内被紧急冻结。攻击者共盗走约36.75枚比特币，价值约300万美元，另在BNB Chain、以太坊及Base链上提取价值约700万美元的代币。此次事件影响范围覆盖4条区块链上的12,847个钱包地址，再次凸显跨链协议在去中心化金融生态中的高风险地位。

索赔窗口限时开放，资金流向透明可控

用户须在21天内通过恢复门户完成索赔申报，截止日期为6月4日。逾期未申领的资金将自动转入协议保险基金。这一结构化补偿流程确保了赔偿标准清晰可追溯，有效降低争议风险。尽管资金池规模与实际损失基本匹配，有助于稳定市场信心，但无法掩盖底层安全架构缺陷所带来的长期信任挑战。

对终端用户而言，核心压力在于按时完成授权撤销与申请提交；而对协议治理方来说，关键任务是证明受损金库已实现物理隔离，且未来不会重演类似密钥泄露事件。

安全机制失效根源：门限签名体系遭系统性渗透

据协议方技术分析，本次攻击的核心路径系利用GG20门限签名方案中的潜在漏洞，导致金库密钥材料逐步外泄。经过持续数据采集与建模推演，攻击者最终成功重构完整私钥，并发起未经授权的跨链转账指令。

调查发现，攻击发生前数日有新节点加入网络，其质押地址与接收被盗资金的钱包存在明确链上关联。目前，安全团队正联合第三方分析机构与执法部门展开深入取证，试图锁定攻击源头并探索资金返还可能性。

技术本质超越合约漏洞，直指核心信任机制

此次攻击的技术特征已超出传统智能合约缺陷范畴。若推断成立，意味着攻击者通过逆向工程手段重建了金库级密钥，暴露出节点运营、密钥分片管理与跨链签名验证等关键环节存在的系统性脆弱点。这使得整个去中心化托管模型面临重新评估。

行业安全态势恶化，4月损失创年内新高

本事件发生于加密领域大规模资产流失的背景下。2025年4月，全行业累计被盗金额达6.297亿美元，为当年最严重单月。其中KelpDAO与Drift Protocol两起事件合计占当月总损失的82%，分别造成2.93亿美元和2.8亿美元损失，反映出当前去中心化协议在安全防护能力上的普遍短板。