THORChain: A ponte que hackers adoram usar

Resposta rápida

Em 2 de setembro de 2026, um hacker ligado a um exploit de carteira hardware Coldcard trocou Bitcoin roubado por ETH usando THORChain - um protocolo de liquidez cross-chain descentralizado e sem permissão. Sem conta. Sem KYC. Sem intermediário para acionar. O movimento é uma ilustração clássica de por que os swaps cross-chain se tornaram a rota de saída favorita de agentes maliciosos on-chain, e por que equipes forenses rastreiam liquidity pools em vez de livros de ordens de exchanges.

O que é THORChain e como um swap cross-chain realmente funciona?

THORChain é um protocolo de liquidez descentralizado que permite swaps nativos de ativos cross-chain - ou seja, move Bitcoin real, ETH real e outros ativos de camada 1 entre blockchains sem envolvê-los em um token sintético nem exigir um custodiante centralizado. Lançou sua mainnet em 2021 e até 2026 havia processado centenas de bilhões de dólares em volume acumulado de swaps em mais de uma dúzia de cadeias. O mecanismo funciona por meio de uma rede de nós chamados THORNodes, que coletivamente mantêm ativos em vaults em cada blockchain conectada. Quando um usuário envia BTC para um endereço de vault do THORChain, o AMM (Automated Market Maker) da rede precifica o trade contra um pool pareado com RUNE, depois instrui um vault na cadeia de destino a liberar o ETH equivalente. RUNE é o token de liquidação nativo que fica em cada liquidity pool como ativo contraparte - cada pool é um par ativo/RUNE. Provedores de liquidez depositam os dois lados; traders pagam uma taxa em RUNE. Todo o processo é não custodial do lado do usuário: o remetente apenas transmite uma transação padrão on-chain para o endereço do vault com um memo especificando o swap. Crucialmente, THORChain não tem contas de usuário, sem login e sem camada de identidade integrada. Qualquer pessoa que possa enviar uma transação válida em blockchain pode executar um swap.

Por que hackers roteiam fundos roubados por protocolos cross-chain?

Cripto roubado segue o caminho de menor fricção. Exchanges centralizadas exigem verificação de identidade KYC (Know Your Customer) e podem congelar endereços sinalizados por empresas de análise blockchain como Chainalysis ou Elliptic. Protocolos cross-chain como THORChain não têm função de congelamento na camada do smart contract - um swap liquida no momento em que os nós chegam a consenso, independentemente da reputação da carteira de origem. Trocar BTC por ETH também quebra a cadeia forense de forma significativa. Bitcoin e Ethereum operam em ledgers completamente separados. Um investigador seguindo fundos na blockchain do Bitcoin encontra uma parede quando esses fundos entram em um vault do THORChain: o BTC desaparece do conjunto UTXO do Bitcoin e o ETH aparece no Ethereum a partir de um endereço de vault que processa milhares de swaps não relacionados. Isso é chamado de obfuscação chain-hop - usar uma bridge cross-chain ou protocolo de liquidez para cortar o rastro on-chain entre o ativo de origem e o ativo de destino. O movimento do atacante ligado à Coldcard em 2 de setembro segue um padrão bem estabelecido. Em 2022, os hackers da Harmony Horizon Bridge - posteriormente atribuídos ao Grupo Lazarus - moveram mais de 60 milhões de dólares pelo THORChain. O protocolo em si não foi explorado nesses casos; foi usado conforme projetado, mas para fins ilícitos. Essa distinção importa para como reguladores e desenvolvedores pensam sobre o problema.

O THORChain pode ser encerrado, bloqueado ou atualizado para impedir agentes maliciosos?

THORChain opera como uma rede autônoma descentralizada governada por detentores de RUNE e operadores de nós. Não há empresa por trás de um interruptor de desligamento. Dito isso, os operadores de THORNode - que vinculam RUNE como garantia econômica e executam o software - podem teoricamente votar para interromper a rede ou pausar cadeias específicas por meio de governança. A rede já foi interrompida: em 2021, foi pausada várias vezes após exploits diretos contra seus próprios vaults totalizando aproximadamente 13 milhões de dólares, para permitir patches de emergência. Bloquear endereços específicos de Bitcoin antes de entrarem no vault é tecnicamente possível no nível do software do nó, mas requer que a maioria dos operadores de nó rode um cliente modificado que rejeite transações de endereços sinalizados. Na prática, os operadores de nó estão distribuídos globalmente e têm incentivos econômicos mistos. Bloquear transações de alto volume reduz diretamente a receita de taxas para provedores de liquidez. A dimensão OFAC (Office of Foreign Assets Control) adiciona complexidade. Em 2022, o Tesouro dos EUA sancionou o Tornado Cash - um protocolo de mistura do Ethereum - e nomeou seus endereços de smart contract. O THORChain não está atualmente sob sanções OFAC, mas o precedente existe. Qualquer operador de nó que seja uma pessoa dos EUA estaria proibido de processar transações para ou de endereços sancionados pela OFAC. Isso cria uma camada de conformidade fragmentada que é desigual em todo o conjunto de nós.

Como analistas on-chain realmente rastreiam fundos por meio de um salto cross-chain?

A obfuscação chain-hop é mais difícil de superar do que a mistura simples de Bitcoin, mas não é invisível. Equipes forenses usam uma combinação de técnicas. Primeiro, clustering de endereços de vault: os vaults do THORChain são endereços publicamente conhecidos. Qualquer BTC enviado para um endereço de vault a partir de uma carteira sinalizada é imediatamente visível on-chain e pode ser correspondido à transação de ETH de saída usando correlação de tempo - o protocolo tipicamente liquida os swaps em poucos blocos, dando aos investigadores uma período de tempo estreita para mapear o par entrada-saída. Segundo, análise de memo: os swaps do THORChain incorporam um endereço de destino no campo memo da transação. Se o hacker cometer qualquer erro na construção do memo - enviando uma transação de teste, reutilizando um endereço de destino ligado a atividade anterior - o rastro se reabre. Terceiro, clustering pós-hop no Ethereum: uma vez que o ETH chega a uma carteira de destino, a forense normal do Ethereum é retomada. Se o atacante consolidar fundos, usar um mixer conhecido ou eventualmente mover para uma rampa de saída fiat, essa atividade é visível. Chainalysis, TRM Labs e empresas similares mantêm bancos de dados de grafos cross-chain que conectam o histórico UTXO do Bitcoin com o histórico de contas do Ethereum por meio de endereços de vault compartilhados. O movimento do hacker da Coldcard, portanto, não garante anonimato - eleva o custo e a complexidade do rastreamento. Atores sofisticados ligados a estados (como o Grupo Lazarus) combinam chain-hops com camadas adicionais como mixers, peel chains e estratégias de saque demorado. Atacantes mais simples frequentemente são detectados na rampa de saída.

O que isso significa para o panorama geral de segurança DeFi em um ciclo BULL?

O NHCI atualmente marca 47.6 - uma leitura de zona BULL, com BTC a $77.550 e a dominância do Bitcoin em 59,6%. Ciclos em zona BULL historicamente veem TVL (Total Value Locked) crescente nos protocolos à medida que mais capital flui para DeFi, o que eleva o incentivo econômico para atacantes. Pools de TVL maiores em protocolos cross-chain significam maior liquidez de saída disponível para qualquer pessoa tentando mover ativos roubados rapidamente. Ao mesmo tempo, ciclos BULL atraem atenção institucional para o mercado de auditoria de segurança. Mais protocolos passam por auditorias formais, mais bug bounties são financiados e as ferramentas forenses melhoram. O resultado líquido é que a frequência de exploits não necessariamente sobe linearmente com os preços, mas o tamanho em dólares de exploits individuais frequentemente sobe - porque os ativos subjacentes valem mais. Para o ecossistema DeFi especificamente, o uso recorrente de protocolos cross-chain como rotas de saída cria um ponto de pressão regulatória persistente. Cada incidente de chain-hop de alto perfil adiciona evidências ao argumento de que a infraestrutura cross-chain sem permissão requer estruturas de conformidade voluntária (screening no nível do nó) ou intervenção regulatória externa. A comunidade do THORChain debateu ambos os caminhos desde 2022 sem uma resolução definitiva. Essa incerteza regulatória é em si uma variável de risco para RUNE e para o setor mais amplo de liquidez cross-chain - uma que investidores e pesquisadores no espaço acompanham junto às métricas on-chain habituais.

Perguntas frequentes

O que é THORChain em termos simples?

THORChain é um protocolo descentralizado que permite trocar ativos nativos entre diferentes blockchains - por exemplo, Bitcoin real por ETH real - sem usar uma exchange centralizada ou criar uma conta. Ele usa liquidity pools e uma rede de nós vinculados para liquidar trades entre cadeias.

O THORChain pode congelar ou reverter uma transação de um hacker?

Não. THORChain não tem autoridade central nem mecanismo de congelamento integrado no nível do smart contract. Uma vez que um swap é liquidado pela rede de nós, é definitivo. Os operadores de nó poderiam teoricamente coordenar para bloquear endereços maliciosos conhecidos, mas isso requer consenso majoritário entre um conjunto de operadores globalmente distribuídos com incentivos mistos.

O que é a obfuscação chain-hop?

A obfuscação chain-hop é a prática de usar uma bridge cross-chain ou protocolo de liquidez para mover fundos roubados ou ilícitos de uma blockchain para outra, cortando o rastro de auditoria on-chain. Como diferentes blockchains mantêm ledgers separados, um investigador seguindo fundos na Cadeia A perde o rastro quando esses fundos saem por um protocolo cross-chain e chegam na Cadeia B.

Um swap cross-chain é rastreável por investigadores de blockchain?

Sim, parcialmente. Como os endereços de vault do THORChain são publicamente conhecidos, os investigadores podem conectar transações de Bitcoin de entrada com transações de Ethereum de saída usando análise de tempo. O rastro não desaparece completamente - torna-se mais caro e complexo de seguir. Empresas forenses como Chainalysis e TRM Labs mantêm bancos de dados de grafos cross-chain especificamente para esse fim.

Qual é o papel do RUNE no THORChain?

RUNE é o token de liquidação nativo do THORChain. Cada liquidity pool na rede é estruturado como um par ativo/RUNE, o que significa que RUNE fica como contraparte em cada trade. Os operadores de nó devem vincular RUNE como garantia econômica para participar da rede, e os provedores de liquidez ganham taxas parcialmente denominadas em RUNE. Esse design torna RUNE a camada central de liquidez e segurança de todo o protocolo.

O chain-hop ligado à Coldcard em 2 de setembro é um lembrete de que a segurança em cripto não é apenas sobre proteger suas próprias chaves - é sobre entender como toda a infraestrutura de liquidez ao seu redor pode ser usada contra o ecossistema. Com o NHCI em 47,6 (zona BULL) e BTC a $77.550, o TVL em alta nos protocolos DeFi manterá a liquidez cross-chain - e seu uso indevido - no foco regulatório e forense. NeverHodl acompanha essas dinâmicas estruturais ao longo do ciclo para que você possa ler o mercado com contexto, não apenas com o preço. Explore o feed de inteligência completo em neverhodl.com.