THORChain (RUNE) là gì, vì sao bị nhắc trong vụ Bybit?

THORChain là một blockchain riêng (Layer 1, chuỗi nền tảng, xem layer 1 và layer 2 là gì) chuyên đổi coin gốc giữa các chuỗi khác nhau. Người có BTC trên mạng Bitcoin gửi vào kho của THORChain và nhận ETH thật trên mạng Ethereum, không qua sàn tập trung, không cần tài khoản.

RUNE là token gốc của mạng: mọi pool (kho chứa hai tài sản để đổi qua lại) đều ghép một tài sản với RUNE, và node (máy chạy phần mềm của mạng) muốn tham gia phải ký quỹ RUNE. Tổng cung khoảng 353,87 triệu RUNE tại khối 28.567.922 (12h34 ngày 07/11/2026, VietnamBit đọc qua API công khai của mạng).

Tên THORChain hay xuất hiện trên báo vì hai lý do khác nhau: tiền từ các vụ hack sàn lớn được đổi sang bitcoin qua mạng này, và chính mạng này cũng từng bị khai thác.

THORChain (RUNE) là gì?

THORChain là sàn phi tập trung chạy trên blockchain riêng, đổi coin gốc giữa các chuỗi trong một lệnh, không cần wrapped token.

Sàn phi tập trung (DEX, giao dịch thẳng từ ví người dùng qua hợp đồng hoặc giao thức, không có công ty giữ tiền) được giải thích ở bài DEX và CEX là gì.

Phần lớn DEX chỉ đổi token trong cùng một chuỗi. Muốn đổi BTC sang ETH, người dùng thường phải qua sàn tập trung hoặc dùng cầu nối blockchain để nhận một wrapped token như WBTC (token đại diện, đổi 1:1 với tài sản gốc ở chuỗi khác, xem wrapped token là gì).

THORChain làm khác: mạng giữ coin thật trong các kho trên từng chuỗi và trả ra coin thật ở chuỗi đích. Tài liệu của dự án liệt kê 13 chuỗi đã kết nối:

• Bitcoin, Bitcoin Cash, Litecoin, Dogecoin, Zcash
• Ethereum, BNB Smart Chain, Avalanche, Base
• Solana, XRP Ledger, Tron, Cosmos Hub
• Monero được ghi là “coming soon” (sắp có)

Stablecoin như USDT, USDC được đổi trên chính chuỗi phát hành chúng (USDT trên Ethereum, BNB Smart Chain, Avalanche, Tron). Tài liệu cũng lưu ý từng chuỗi có thể bị tạm dừng: lúc VietnamBit kiểm (07/11/2026), API của mạng cho thấy giao dịch trên Base, Solana và XRP Ledger đang tạm dừng.

	THORChain	Cầu nối + wrapped token	Sàn tập trung
Coin nhận về	Coin gốc ở chuỗi đích	Token đại diện (WBTC…)	Số dư trên sổ của sàn, rút ra mới là coin gốc
Ai giữ tiền trong lúc đổi	Kho do nhóm node cùng ký	Hợp đồng cầu nối hoặc bên giữ hộ	Công ty vận hành sàn
Tài khoản, KYC	Không cần (tài liệu THORChain)	Thường không cần	Có
Rủi ro chính	Lỗi giao thức, kho bị khai thác	Cầu nối bị hack, token mất neo	Sàn vỡ nợ, bị hack, đóng băng

THORChain đổi BTC sang ETH thế nào?

Mỗi lệnh đổi đi qua hai pool: BTC đổi sang RUNE trong pool BTC/RUNE, rồi RUNE đổi sang ETH trong pool RUNE/ETH.

Pool thanh khoản là kho chứa hai tài sản để người dùng đổi qua lại theo công thức, giải thích ở bài liquidity pool là gì. Theo tài liệu THORChain, một lệnh đổi 1 BTC sang ETH diễn ra như sau:

1. BTC được gửi vào kho của THORChain trên mạng Bitcoin, kèm thông tin về tài sản muốn nhận và địa chỉ nhận.
2. Node của THORChain quan sát mạng Bitcoin, thấy khoản nạp và chờ đủ số xác nhận.
3. Mạng đổi BTC sang RUNE trong pool BTC/RUNE.
4. RUNE được đổi ngay sang ETH trong pool RUNE/ETH.
5. Kho của THORChain trên Ethereum gửi ETH gốc tới địa chỉ người dùng đã ghi.

Người dùng không cần cầm RUNE, hai bước giữa diễn ra bên trong mạng. Kho trên mỗi chuỗi do nhóm node cùng kiểm soát bằng chữ ký ngưỡng (TSS, threshold signature scheme): mỗi node chỉ giữ một mảnh khóa, phải đủ số node cùng ký mới chuyển được tiền. Cách chia khóa này gần với ví MPC, xem ví MPC là gì.

Thiết kế dùng RUNE làm tài sản trung gian giúp giảm số pool cần có. Tài liệu lấy ví dụ: 12 tài sản nếu ghép từng cặp với nhau cần 66 pool, còn ghép với RUNE chỉ cần 12 pool.

Phí đổi trên THORChain tính thế nào? Ví dụ bằng số

Phí chính là phí trượt giá: lệnh càng lớn so với độ sâu pool thì phần trăm phí càng cao. Ngoài ra người dùng trả phí mạng ở chuỗi gửi đi, phí trả ra (gas ở chuỗi đích nhân hệ số 1 đến 3 lần) và phí của giao diện nếu có.

Theo tài liệu, khi gửi x vào một pool đang có X (tài sản gửi vào) và Y (tài sản nhận ra), THORChain tính:

• Tỷ lệ trượt giá = x / (x + X)
• Phí = x² × Y / (x + X)²
• Lượng nhận ra = x × X × Y / (x + X)²

Ví dụ dùng độ sâu pool thật tại khối 28.567.922 (12h34 ngày 07/11/2026, VietnamBit đọc và tự tính): pool BTC có 181,73 BTC và 23.244.239 RUNE, pool ETH có 6.957.360 RUNE và 1.841,09 ETH. Giá giao ngay trong pool là 1 BTC ≈ 127.902 RUNE ≈ 33,85 ETH.

Gửi 1 BTC: tỷ lệ trượt giá = 1 / 182,73 ≈ 0,55%. Lượng nhận = 1 × 181,73 × 23.244.239 / 182,73² ≈ 126.506 RUNE, thấp hơn giá giao ngay khoảng 1,09%. Trong phần chênh này, phí trả cho người cung cấp thanh khoản là 23.244.239 / 182,73² ≈ 696 RUNE, phần còn lại là trượt giá.

Lượng BTC gửi	Trượt giá ở pool BTC	RUNE nhận (so với giá giao ngay)	Đổi tiếp ra ETH: tổng hao hụt
0,1 BTC	0,055%	12.776 RUNE (thấp hơn 0,11%)	Khoảng 0,48%
1 BTC	0,55%	126.506 RUNE (thấp hơn 1,09%)	Khoảng 4,59%
10 BTC	5,22%	1.149.084 RUNE (thấp hơn 10,16%)	Khoảng 33,8%

Bảng chỉ tính công thức trượt giá, chưa gồm phí vào, phí ra, phí giao diện và mức phí tối thiểu 0,1% mỗi lượt (tham số L1SlipMinBps = 10 ngày 07/11/2026). Với lệnh nhỏ như 0,1 BTC, mức tối thiểu này cao hơn phí trượt giá nên phí thực tế cao hơn bảng.

Hao hụt khi đổi ra ETH lớn hơn nhiều vì pool ETH chỉ có khoảng 6,96 triệu RUNE, nông hơn pool BTC. Để giảm hao hụt với lệnh lớn, THORChain cho chia lệnh thành nhiều lệnh nhỏ chạy dần theo thời gian (streaming swap). Khái niệm trượt giá chung có ở bài slippage là gì.

RUNE dùng để làm gì?

RUNE vừa là tài sản trung gian trong mọi pool, vừa là tiền ký quỹ bảo đảm an toàn cho các kho, vừa dùng để trả phí và thưởng. Tài liệu THORChain nêu bốn vai trò:

• Thanh toán trung gian: mỗi pool chứa giá trị RUNE bằng giá trị tài sản kia (pool có 100.000 USD BTC thì có 100.000 USD RUNE).
• Bảo đảm an toàn: node phải ký quỹ (bond) RUNE. Node lấy trộm tiền trong kho thì bị trừ ký quỹ khoảng 1,5 lần số đã lấy để bù cho pool.
• Quản trị: node bỏ phiếu thay đổi tham số mạng qua cơ chế Mimir, mỗi node một phiếu.
• Phí và thưởng: phí giao dịch trên chính chuỗi THORChain là 0,02 RUNE, thưởng cho node và người cung cấp thanh khoản trả bằng RUNE.

Việc trừ tiền ký quỹ khi node vi phạm gọi là slashing, xem thuật ngữ slashing. Node là máy chạy phần mềm của mạng, còn validator là node tham gia xác nhận khối, giải thích ở bài node và validator là gì.

Thiết kế nhắm tỷ lệ ký quỹ gấp đôi lượng RUNE trong pool. Một cơ chế gọi là Incentive Pendulum tự chia thưởng nghiêng về node khi ký quỹ thiếu, nghiêng về người cung cấp thanh khoản khi ký quỹ thừa.

Số đọc trên chuỗi ngày 07/11/2026: 111 node đang hoạt động trên tối đa 120 chỗ, tổng ký quỹ khoảng 101,02 triệu RUNE. Các pool đang mở chứa khoảng 50,97 triệu RUNE, nên tỷ lệ là 101,02 / 50,97 ≈ 1,98 (VietnamBit tính). Mỗi node phải ký quỹ tối thiểu 300.000 RUNE. Node được thay định kỳ (churn) để nhóm giữ kho không cố định.

Nguồn cung RUNE và token TCY

Toàn bộ RUNE đã được phát hành, không còn lịch mở khóa; tổng cung giảm dần vì một phần thu nhập bị đốt.

Theo tài liệu, khi ra đời 10% RUNE dành cho nhóm phát triển đầu tiên (làm từ 2018), 5% bán vòng hạt giống, 16% bán công khai lần đầu, 24% cho người dùng tham gia giai đoạn khởi động và 44% đưa vào quỹ dự trữ (Reserve) để trả thưởng nhiều năm.

Đề xuất ADR-023 ghi lúc đó cung tối đa là 500 triệu, tổng cung khoảng 425 triệu, lưu hành khoảng 351 triệu, và đề xuất đốt khoảng 64,9 triệu RUNE trong quỹ dự trữ. Báo cáo quý 2/2026 của THORChain cho biết việc đốt đã chạy cùng bản nâng cấp v3.17 vào tháng 4/2026, đưa tổng cung về khoảng 360 triệu. Cách đọc lịch mở khóa token có ở bài token unlock là gì.

TCY (THORChain Yield) là token phát cho chủ nợ sau khi THORFi dừng năm 2025 (xem mục sự cố bên dưới), tổng 210 triệu token, được chia một phần thu nhập của mạng. Thu nhập hệ thống (thưởng khối cộng phí thanh khoản) hiện được chia như sau, theo tài liệu và báo cáo quý 3/2026:

Phần	Tỷ lệ
Node và người cung cấp thanh khoản	59%
Thanh khoản thuộc sở hữu giao thức (POL)	20%
Người đặt cọc TCY	10%
Quỹ phát triển	5%
Quỹ marketing	5%
Đốt	1%

Tỷ lệ đốt bị giảm từ 5% xuống 1% vào giữa tháng 9/2026 (báo cáo quý 3/2026). Các tỷ lệ này do node bỏ phiếu nên có thể đổi.

Quý 3/2026, THORChain báo khối lượng đổi khoảng 3,82 tỷ USD và thu khoảng 5,77 triệu USD phí.

Vì sao THORChain bị nhắc trong vụ Bybit?

Tin tặc lấy khoảng 1,5 tỷ USD từ sàn Bybit rồi đổi phần lớn số ETH sang bitcoin qua THORChain, và mạng không chặn. Diễn biến vụ hack sàn có ở bài các vụ hack sàn lớn nhất; dưới đây chỉ là phần liên quan tới THORChain.

FBI (thông báo ngày 26/2/2025) cho biết Triều Tiên chịu trách nhiệm vụ đánh cắp khoảng 1,5 tỷ USD tài sản ảo từ sàn Bybit vào khoảng ngày 21/2/2025. FBI nói kẻ tấn công đang nhanh chóng đổi một phần sang bitcoin và đề nghị các sàn, cầu nối, dịch vụ DeFi (tài chính phi tập trung, xem DeFi là gì) chặn giao dịch liên quan. Thông báo của FBI không nêu tên THORChain.

Các con số về THORChain đến từ nhà phân tích và báo chí:

• 27/2/2025, The Block: một nhà nghiên cứu bảo mật của MetaMask ước tính 161.490 ETH (khoảng 370 triệu USD) đã đi qua THORChain trong 3.934 giao dịch suốt 115 giờ; THORChain có ngày đổi lớn nhất lịch sử, hơn 737 triệu USD.
• 28/2/2025, Cointelegraph: ba node bỏ phiếu dừng giao dịch ETH nhưng lệnh dừng bị đảo lại sau vài phút. Một lập trình viên chủ chốt tuyên bố rời dự án.
• 4/3/2025, The Block: theo CEO của Bybit, 83% số ETH bị lấy đã đổi sang bitcoin, 77% số tiền còn truy vết được, khoảng 20% “gone dark” (mất dấu). The Block ghi 72% tổng số tiền đã đi qua THORChain.

Cũng theo Cointelegraph, nhà sáng lập THORChain nói không ví nào trong danh sách trừng phạt của FBI và OFAC (cơ quan của Bộ Tài chính Mỹ công bố danh sách trừng phạt) từng giao dịch với giao thức, và cho rằng đòi các blockchain kiểm duyệt là không thực tế. Thông tin chung về sàn này có ở trang tra cứu Bybit.

Chuyện tương tự với vụ Bitget tháng 9/2026

Ngày 24/9/2026, sàn Bitget mất khoảng 387,5 triệu USD, và một phần số tiền bị lấy sau đó được đổi qua THORChain. Con số thiệt hại theo BleepingComputer (28/9/2026); thông tin về sàn ở trang tra cứu Bitget.

Theo báo cáo quý 3/2026 của THORChain, từ 25 đến 29/9 mạng xử lý khoảng 1,38 tỷ USD khối lượng, hơn nửa tổng khối lượng tháng 9. Protos (28/9/2026) ghi THORChain xử lý 678 triệu USD trong hai ngày sau vụ hack, trong khi trước đó mỗi ngày chỉ khoảng 20 đến 60 triệu USD.

Ngày 26/9/2026, CEO của Bitget công khai đề nghị THORChain từ chối phục vụ các địa chỉ của kẻ tấn công. THORChain từ chối ngay trong ngày. Lập luận của THORChain:

• Mạng phi tập trung, không cần cấp phép như Bitcoin hay Ethereum, không có cơ chế chặn một lệnh đổi, người gửi hay người nhận cụ thể.
• Node có thể dừng một chuỗi hoặc cả mạng khi khả năng thanh toán bị đe dọa, và lệnh dừng áp cho mọi người dùng cùng lúc.
• Sau vụ chính THORChain bị khai thác tháng 5/2026, mạng cũng không đưa ví kẻ tấn công vào danh sách chặn.

Protos đặt câu hỏi về lập trường này, vì mạng từng dừng toàn bộ khi chính mình bị hack. Đây là tranh cãi chưa ngã ngũ: bên phản đối cho rằng phi tập trung không nên là lá chắn cho tiền bị đánh cắp, phía THORChain cho rằng chặn có chọn lọc sẽ phá thiết kế của mạng.

THORChain từng gặp những sự cố nào?

Ngoài tranh cãi về dòng tiền bị đánh cắp, THORChain từng bị khai thác ít nhất ba lần và phải dừng sản phẩm gửi và vay năm 2025.

Thời điểm	Sự cố	Hậu quả	Nguồn
7/2021	Hai vụ khai thác phần kết nối Ethereum trong một tuần	Khoảng 4.000 ETH, sau đó khoảng 8 triệu USD	CoinDesk
1/2025	THORFi (gửi lấy lãi, vay) không trả được nợ	Dừng rút ngày 24/1/2025, khoảng 200 triệu USD nợ đổi sang TCY	THORChain
15/5/2026	Node mới vào mạng khai thác lỗ hổng chữ ký ngưỡng GG20	Khoảng 10,7 triệu USD từ 1 trong 5 kho; dừng mạng tới 22/6/2026	THORChain
26–27/8/2026	Các node không thống nhất trạng thái mạng	Mạng dừng hai ngày, lớp ứng dụng tạm khóa tới 3/9/2026	THORChain

THORFi năm 2025. Savers cho gửi một loại coin để nhận lãi, Lending cho vay thế chấp. Ngày 9/1/2025 một khóa quản trị tạm dừng hai sản phẩm nhưng node đảo lại trong ngày. Ngày 24/1/2025 node bỏ phiếu tạm dừng hai sản phẩm, khi nợ Savers khoảng 96,22 triệu USD và Lending khoảng 105,66 triệu USD. Sau đó THORChain cho ngừng hẳn hai sản phẩm và đổi khoản nợ sang TCY, mỗi 1 USD nợ nhận 1 TCY.

Vụ 15/5/2026. Theo báo cáo của THORChain (20/5/2026), kẻ tấn công là một node mới vào mạng hai ngày trước đó. Node này lợi dụng lỗ hổng của GG20 (một chuẩn chữ ký ngưỡng) để dần ghép lại khóa riêng của một kho rồi rút tiền. Hệ thống tự kiểm khả năng thanh toán dừng ký và giao dịch trên nhiều chuỗi trong vài phút.

Cointelegraph (15/5/2026) ghi RUNE giảm khoảng 13% sau tin này. Mạng chạy lại ngày 22/6/2026 sau khoảng 5 tuần. Theo báo cáo quý 2/2026, phần bù thiệt hại về tài chính vẫn chưa được giải quyết; báo cáo quý 3/2026 chỉ ghi đã hoàn tất việc đối soát lại số dư các pool.

Đổi qua THORChain có giúp xóa dấu vết không?

Không xóa được dấu vết theo nghĩa của dịch vụ trộn: mọi lệnh đổi trên THORChain đều công khai trên chuỗi, nhưng việc nhảy sang chuỗi khác làm truy vết khó hơn.

Dịch vụ trộn (mixer) gộp tiền nhiều người rồi trả ra để cắt liên kết giữa ví gửi và ví nhận, xem crypto mixer là gì. THORChain không gộp tiền theo cách đó: khoản nạp, lệnh đổi và khoản trả ra đều ghi trên chuỗi và tra được qua công cụ của mạng.

Khó khăn nằm ở chỗ tiền đổi từ Ethereum sang Bitcoin rồi bị chia ra hàng nghìn địa chỉ. FBI mô tả số tiền vụ Bybit bị phân tán “across thousands of addresses on multiple blockchains”. Dù vậy, theo CEO của Bybit, 77% vẫn truy vết được sau gần hai tuần. Cách các bên nối địa chỉ với danh tính có ở bài truy vết giao dịch tài sản mã hóa.

Rửa tiền là hành vi hợp thức hóa tiền do phạm tội mà có, giải thích ở bài rửa tiền là gì. Dùng tài sản mã hóa để rửa tiền bị xử lý ra sao ở Việt Nam có ở trang rửa tiền bằng tiền ảo.

Coin từng đi qua THORChain nạp vào sàn được cấp phép có bị hỏi không?

Có thể bị hỏi. Từ 01/12/2026, coin nạp, rút có lịch sử qua cầu nối liên chuỗi được đánh giá có rủi ro cao là một dấu hiệu đáng ngờ. Sàn được cấp phép phải xem xét dấu hiệu này theo luật phòng, chống rửa tiền.

Luật 23/2026/QH16 thêm Điều 33a vào Luật Phòng, chống rửa tiền với 15 dấu hiệu đáng ngờ trong lĩnh vực tài sản mã hóa, hiệu lực từ 01/12/2026. Ba dấu hiệu gần với trường hợp coin đi qua THORChain:

• Tài sản mã hóa nạp, rút “có lịch sử qua các cầu nối liên chuỗi được đánh giá có rủi ro cao” (khoản 10).
• Chuyển đổi tài sản mã hóa sang nhiều loại khác nhau “mà không có mục đích kinh doanh, đầu tư hợp lý” (khoản 4).
• Giao dịch từ địa chỉ ví đã được cơ quan có thẩm quyền xác định hoặc cảnh báo liên quan tới “tài sản bị đánh cắp” (khoản 7).

Luật không nêu tên giao thức nào và không nói THORChain có thuộc nhóm cầu nối được đánh giá có rủi ro cao hay không. Dấu hiệu đáng ngờ cũng không phải kết luận vi phạm: đây là căn cứ để sàn hỏi thêm và báo cáo Ngân hàng Nhà nước khi có cơ sở hợp lý (Điều 26 đã sửa).

Nếu sàn hỏi nguồn gốc, cách chuẩn bị lịch sử giao dịch, mã giao dịch và chứng từ có ở trang nạp coin vào sàn được cấp phép bị hỏi nguồn gốc.

THORChain ở góc pháp lý Việt Nam

RUNE là tài sản mã hóa theo Nghị quyết 05/2025/NQ-CP; văn bản không nêu tên THORChain và không cấm nắm giữ. Nghị quyết quy định chỉ tổ chức được Bộ Tài chính cấp phép mới được cung cấp dịch vụ và quảng cáo liên quan tới tài sản mã hóa (Điều 4 khoản 4).

Nghị quyết 05 và Nghị định 284/2026/NĐ-CP không nêu tên sàn phi tập trung (DEX). Theo cách đọc của VietnamBit, đổi coin trên một DEX như THORChain có thể bị xếp vào giao dịch không qua tổ chức được cấp phép. Sau mốc 6 tháng kể từ khi có giấy phép đầu tiên, cá nhân có thể bị phạt 15–25 triệu đồng (Nghị quyết 05 Điều 7 khoản 2, Nghị định 284 Điều 9 khoản 1 và Điều 4 khoản 2).

Văn bản không nêu tên DEX, phân tích đầy đủ ở trang dùng DEX sau mốc 6 tháng có bị xử lý không.

Tính đến 12/11/2026, chưa sàn nào được cấp phép. Danh sách sàn được cấp phép niêm yết RUNE ở khối “THORChain ở Việt Nam” phía trên tự cập nhật theo dữ liệu sàn.