GoPlus : THORChain n’est pas un protocole décentralisé

L’entreprise de sécurité GoPlus Security remet en cause l’affirmation de THORChain selon laquelle son protocole serait aussi décentralisé que Bitcoin ou Ethereum. À l’origine de cette contestation, le flux de fonds volés, dont de l’argent lié à des pirates nord-coréens, blanchis via THORChain. Selon GoPlus, le protocole dispose des moyens techniques d’intervenir, mais choisit de ne pas le faire, tout en encaissant des millions de frais de transaction.

En bref :

• GoPlus affirme que THORChain diffère structurellement de Bitcoin et Ethereum parce que les validateurs contrôlent collectivement les fonds placés dans les coffres dits TSS.
• Le protocole dispose de mécanismes intégrés pour suspendre ou bloquer des transactions, et les a déjà utilisés après avoir lui-même été victime d’un piratage.
• Via THORChain, le piratage de Bybit a généré environ 5,5 millions de dollars de frais ; lors du récent piratage de Bitget, ce montant est également en hausse.

Les coffres TSS ne relèvent pas d’un consensus de couche de base

GoPlus explique que Bitcoin et Ethereum fonctionnent d’une manière fondamentalement différente de THORChain. Avec Bitcoin et Ethereum, les utilisateurs détiennent leurs propres fonds grâce à leurs clés privées. Les validateurs et les mineurs peuvent refuser une transaction, mais ne peuvent jamais envoyer eux-mêmes des fonds au nom d’un utilisateur.

Chez THORChain, il en va autrement. Chaque transaction sortante exige une signature active du réseau des validateurs actifs via une signature de seuil dite GG20 TSS. Pendant un échange, les fonds se trouvent dans un coffre TSS géré conjointement par ces validateurs. GoPlus affirme que la libération de fonds volés n’est donc pas un processus technique neutre, mais un choix actif du réseau de validateurs.

Le réseau de validateurs actif de THORChain compte au maximum environ 100 nœuds, avec la possibilité de monter à 250 ou plus. Ces nœuds coordonnent activement via un canal Discord et peuvent prendre des décisions concernant le protocole par des votes. Selon GoPlus, cela diffère fondamentalement du réseau mondial anonyme de mineurs de Bitcoin, dépourvu de tout mécanisme de coordination.

Des mécanismes de suspension intégrés et des précédents

THORChain dispose de plusieurs outils intégrés pour intervenir. Un seul nœud peut déjà suspendre temporairement le réseau via la commande appelée « make pause ». Il est également possible de suspendre les transactions sortantes d’une blockchain précise sans mettre tout le réseau hors ligne. Grâce à la gouvernance Mimir, les nœuds peuvent en outre ajuster des paramètres en temps réel, suspendre les échanges ou bloquer des transactions.

GoPlus souligne que THORChain a déjà utilisé ces mécanismes. Lorsque le protocole a lui-même été touché par un piratage en mai 2026, le réseau a été suspendu en deux heures pour éviter d’autres dégâts. Auparavant, en février 2025, les validateurs avaient d’abord voté pour intercepter des fonds liés à la Corée du Nord, avant de revenir sur cette décision. Le contributeur clé Pluto, qui plaidait pour une intervention, a ensuite quitté le projet.

Des millions de frais sur des fonds volés

GoPlus chiffre ce que rapporte l’absence d’intervention. Lors du piratage de Bybit, 499 000 ETH ont été blanchis en dix jours via THORChain, ce qui a rapporté au protocole environ 5,5 millions de dollars de frais. Lors du récent piratage de Bitget, environ 101,5 BTC (près de 8,5 millions de dollars) ont déjà transité par THORChain, en plus d’environ 27,63 millions de XRP (environ 43 millions de dollars) en cours de conversion vers Bitcoin. Les recettes potentielles en frais correspondantes se chiffrent en centaines de milliers de dollars.

GoPlus conclut qu’un blocage par chaîne des adresses et des fonds liés à la Corée du Nord par le FBI et l’OFAC s’inscrit dans le cadre d’urgence propre à THORChain pour les situations où des fonds sont en danger. Les critiques de GoPlus rejoignent un débat antérieur sur le rôle de THORChain dans la facilitation de flux financiers illégaux et la demande formulée précédemment par le PDG de Bitget de bloquer les adresses de pirates.