Într-un recent atac cibernetic, organizația autonomă descentralizată (DAO) responsabilă de gestionarea Tornado Cash, un mixer crypto axat pe confidențialitate, a căzut victimă unui atacator sau unui grup de atacatori neidentificați.
Incidentul a avut ca rezultat obținerea de către atacator a controlului asupra operațiunilor și fondurilor DAO-ului. Cu toate acestea, este important de menționat că atacul nu a compromis funcționalitatea sau securitatea protocolului Tornado Cash în sine, care permite utilizatorilor să-și mascheze tranzacțiile cu criptomonede.
DAO-urile permit deținătorilor de tokenuri să își blocheze activele ca voturi pentru propunerea de modificări într-un proiect. În acest caz, atacatorul a propus o modificare rău intenționată care ascundea o funcție de cod, acordându-i voturi false și control asupra unor aspecte ale Tornado Cash, cum ar fi tokenurile TORN aflate în contractul principal de guvernare sau retragerea tokenurilor TORN blocate. Atacatorul a retras apoi 10.000 de voturi sub forma de tokenuri TORN și le-a vândut.
Now that they have all the votes, they can do whatever they want. In this case, they simply withdrew 10,000 votes as TORN and sold it allhttps://t.co/XxYezHusK6 pic.twitter.com/qOefI65SLk
— @samczsun.com (@samczsun) May 20, 2023
Această acțiune ilicită a dus la o scădere semnificativă a prețului TORN, care a scăzut cu până la 40% în ultimele 24 de ore.
Cu toate acestea, comunitatea Tornado Cash a reacționat rapid în fața acestei breșe, introducând noi propuneri cu scopul de a anula modificările malefice făcute de atacator.
De remarcat, un membru al comunității a subliniat faptul că atacatorul a generat peste 1 milion de tokenuri TORN, evaluate la peste 4 milioane de dolari. Soluția propusă implică restabilirea stării de guvernare prin eliminarea codului malefic și redistribuirea puterii de vot către deținătorii de tokenuri.
Încurajator, o propunere recentă depusă de o adresă de portofel conectată la atac sugerează că atacatorul este dispus să-și inverseze acțiunile în mod voluntar.
Propunerea vizează să reseteze soldul de tokenuri TORN al atacatorului la zero, renunțând astfel la controlul majoritar al voturilor de guvernare pe care le-au obținut. Procesul de vot este în desfășurare și se va încheia pe 26 mai, cu o mare probabilitate ca propunerea să fie aprobată având în vedere cantitatea semnificativă de tokenuri deținute de atacator.
După executarea cu succes a propunerii, codul malefic integrat în protocolul Tornado Cash va fi eliminat, restabilind controlul complet al guvernării în mâinile deținătorilor de tokenuri. Ca rezultat, tokenul TORN a înregistrat o creștere temporară, în valoare de până la 10%, înainte de a se stabiliza.
Cu toate acestea, unii membri ai comunității Tornado Cash au exprimat prudență, luând în considerare posibilitatea ca acțiunile atacatorului să facă parte dintr-o încercare deliberată de a manipula prețurile tokenurilor. Teoria sugerează că atacatorul a orchestrat încălcarea pentru a reduce valoarea tokenului, potențial crescându-și astfel soldurile la un preț redus.
TornadoCash attacker deployed new proposal that, if executed, would seemingly revert the damage done to the Governance functionality. Either they're giga trolling or it will end up being an expensive but not disastrous lesson in Governance security.https://t.co/QMWYFsi8kP
— 0xdeadf4ce (@0xdface) May 21, 2023
Acest atac asupra Tornado Cash evidențiază încă o dată vulnerabilitatea organizațiilor autonome descentralizate și a protocoalelor de finanțe descentralizate în fața atacurilor structurale. În timp ce hack-urile tradiționale exploatează vulnerabilități de cod, aceste tipuri de atacuri implică manipularea sistemelor de guvernare.
Atacatorul din spatele acestei breșe pare să fi profitat de faptul că Tornado Cash a fost recent desemnată ca entitate sancționată, contând, probabil, pe dificultățile asociate cu acțiunile legale.