Un attaquant détourne la gouvernance de Tornado Cash via une proposition malveillante

0

En plus des barrages routiers existants du mélangeur crypto décentralisé Tornado Cash, un attaquant a réussi à prendre le contrôle total de la gouvernance grâce à une proposition malveillante.

Le 20 mai à 3 h 25 HE, un attaquant a réussi à obtenir 1,2 million de votes pour une proposition malveillante. Étant donné que la proposition a reçu plus de 700 000 votes légitimes, l’attaquant a pris le contrôle total de la gouvernance de Tornado Cash.

L’information a été partagée par @samczsun de la société d’investissement technologique axée sur la recherche Paradigm, qui a révélé que, lors du partage de la proposition malveillante, l’attaquant a affirmé qu’il utilisait une logique similaire à une proposition qui avait déjà été transmise par la communauté. Cependant, cette fois, la proposition avait une fonction supplémentaire.

Comme l’explique @samczsun :

« Une fois la proposition adoptée par les électeurs, l’attaquant a simplement utilisé la fonction emergencyStop pour mettre à jour la logique de la proposition afin de s’accorder les faux votes. »

Le contrôle total sur la gouvernance de Tornado Cash permet à l’attaquant de retirer tous les votes verrouillés, de vider tous les jetons du contrat de gouvernance et de briquer le routeur. Au moment d’écrire ces lignes, l’attaquant « a simplement retiré 10 000 votes en tant que TORN et a tout vendu », a déclaré @samczsun.

L’attaque rappelle aux investisseurs en cryptographie de vérifier les descriptions et la logique des propositions. Une communauté active de Tornado Cash, qui s’appelle Tornadosaurus-Hex ou M. Tornadosaurus Hex, a confirmé que tous les fonds de la gouvernance sont potentiellement compromis et a demandé à tous les membres de retirer tous les fonds bloqués dans la gouvernance.

Comme indiqué ci-dessus, ils ont également tenté de déployer un contrat qui pourrait potentiellement annuler les modifications tout en suggérant à la communauté de retirer ses fonds. Cointelegraph a également rencontré un appel de détresse de l’un des développeurs de la communauté de Tornado Cash qui a confirmé les développements ci-dessus, déclarant :

« Il y a eu une attaque contre le protocole ce matin dont vous êtes déjà au courant. Toute la journée, un autre développeur communautaire et moi avons réfléchi à ce qu’il fallait faire, mais la situation est presque sans espoir – actuellement, l’attaquant contrôle la gouvernance. »

L’équipe est actuellement à la recherche de développeurs Solidity qui peuvent aider à sauver le protocole de l’extinction. Ils ont également déclaré que « nous avons besoin d’un contact avec Binance – cet échange a plus de jetons que l’attaquant ».

En relation: Allbridge offre une prime à l’exploiteur qui a volé 573 000 $ lors d’une attaque de prêt flash

Un ancien développeur de Tornado Cash travaillerait sur la création d’un nouveau service de mixage de crypto à partir de zéro, qui corrige la « défaut critique » existant dans Tornado Cash.


source site-12