Вредоносное предложение приводит к захвату Tornado Cash

Автор CryptoHamster На чтение 3 мин Просмотров 53 Опубликовано 21.05.2023 Обновлено 21.05.2023

В дополнение к существующим блокпостам децентрализованного миксера криптовалюты Tornado Cash злоумышленнику удалось получить полный контроль над управлением с помощью вредоносного предложения.

20 мая в 3:25 по восточноевропейскому времени злоумышленник успешно отдал 1,2 миллиона голосов за вредоносное предложение. Учитывая, что предложение получило более 700 000 законных голосов, злоумышленник получил полный контроль над управлением Tornado Cash.

On 2023/05/20 at 07:25:11 UTC, Tornado Cash governance effectively ceased to exist. Through a malicious proposal, an attacker granted themselves 1,200,000 votes. As this is more than the ~700,000 legitimate votes, they now have full control.https://t.co/nY87XmrYgT pic.twitter.com/h9qjc3xRqz

— @samczsun.com (@samczsun) May 20, 2023

The information was shared by @samczsun of research-driven technology investment firm Paradigm, who revealed that, when sharing the malicious proposal, the attacker claimed that it used a logic similar to a proposal that had previously passed by the community. However, this time, the proposal had an additional function.

Как объяснил @samczsun:

«Как только предложение было принято избирателями, злоумышленник просто использовал функцию EmergencyStop, чтобы обновить логику предложения, чтобы предоставить себе фальшивые голоса».

The total control over Tornado Cash governance allows the attacker to withdraw all of the locked votes, drain all of the tokens in the governance contract and brick the router. At the time of writing, the attacker “simply withdrew 10,000 votes as TORN and sold it all,” said @samczsun.

The attack comes as a reminder to cryptocurrency investors to vet proposal descriptions and logic. An active community of Tornado Cash, who goes by the name Tornadosaurus-Hex or Mr. Tornadosaurus Hex, confirmed that all funds in Governance are potentially compromised and requested all members to withdraw all funds locked in governance.

Как показано выше, они также попытались развернуть контракт, который потенциально мог бы отменить изменения, но при этом предлагал сообществу снять свои средства. Коинтелеграф также получил сигнал бедствия от одного из разработчиков сообщества Tornado Cash, который подтвердил вышеуказанные события, заявив:

«Сегодня утром была атака на протокол, о которой вы уже знаете. Весь день мы с другим разработчиком сообщества думали, что делать, но ситуация близка к безвыходной — в настоящее время злоумышленник контролирует управление».

The team is currently in search of Solidity developers that can help save the protocol from extinction. They additionally stated that “we need contact with Binance – this exchange has more tokens than the attacker.”

Связанный: Allbridge предлагает вознаграждение эксплуататору, который украл 573 тысячи долларов в атаке с флэш-кредитом

Сообщается, что бывший разработчик Tornado Cash работает над созданием новой службы микширования криптовалюты с нуля, которая устраняет «критический недостаток», существующий в Tornado Cash.

1/ We fixed @tornadocash ?

v0 of https://t.co/Nt4b2Tgx1D is live on @optimismFND

test out the demo, but please note:
– this is experimental code
– it has not been audited
– the trusted setup is untrusted

read the full story anon ??https://t.co/9nAU3RrgpN

— Ameen Soleimani (@ameensol) March 4, 2023

The developer hopes the solution will empower “the community to defend against hackers abusing the anonymity sets of honest users without requiring blanket regulation or sacrificing on cryptocurrency ideals.”

Magazine: ‘Moral responsibility’: Can blockchain really improve trust in AI?