A plataforma de mixing de cripto descentralizada Tornado Cash recentemente sofreu um ataque significativo em sua governança. Uma proposta maliciosa subverteu recentemente seu sistema de governança, proporcionando ao ator de ameaça controle total sobre o protocolo.
O ator de ameaça conseguiu transferir 1,2 milhões de votos para uma proposta com intenção enganosa no dia 20 de maio. Essa iniciativa recebeu mais de 700.000 votos legítimos, permitindo que o atacante controlasse completamente a governança do Tornado Cash. Esse incidente foi destacado por @samczsun, um pesquisador da Paradigm, uma firma de investimento em tecnologia orientada por pesquisa.
Em 2023/05/20 às 07:25:11 UTC, a governança da Tornado Cash efetivamente deixou de existir. Por meio de uma proposta maliciosa, um atacante concedeu a si mesmo 1.200.000 votos. Como isso é mais do que os ~700.000 votos legítimos, agora eles têm controle total.https://t.co/nY87XmrYgT pic.twitter.com/h9qjc3xRqz
— @samczsun.com (@samczsun) 20 de maio de 2023
O atacante alegou que sua proposta empregou uma lógica semelhante à de uma proposta comunitária previamente aprovada. No entanto, ela ocultava uma função insidiosa. Depois de aprovada, o atacante usou a função emergencyStop no contrato de governança para modificar a lógica da proposta, concedendo a si mesmo votos falsificados.
Com total controle, o atacante agora pode retirar todas as votações bloqueadas, drenar os tokens do contrato de governança e, efetivamente, "inutilizar" o roteador on-chain. Os tweets mais recentes de @samczsun sobre o assunto sugerem que o atacante já retirou 10.000 votos como tokens TORN e os liquidou.
Isso destaca criteriosamente a necessidade de uma análise rigorosa e de uma revisão adequada das descrições e da lógica das propostas. Um membro da comunidade da Tornado Cash, conhecido de forma pseudônima como Tornadosaurus-Hex, confirmou a possível comprometimento de todos os fundos de governança e pediu que os membros retirassem quaisquer fundos bloqueados.
A equipe da Tornado Cash agora está ativamente buscando desenvolvedores Solidity que possam ajudar a proteger o protocolo de mais danos. Eles também indicaram a necessidade de diálogo com a Binance, já que a exchange possui mais tokens em posse do que o ator da ameaça e pode ser capaz de ajudar a reverter as funções implementadas por meio do exploit.
O caso da Tornado Cash recentemente recebeu apoio de grandes grupos de políticas cripto e de defesa. A Blockchain Association e o DeFi Education Fund apresentaram conjuntamente um parecer amicus curiae em apoio a um pedido de julgamento sumário parcial para o autor contra o Departamento do Tesouro dos EUA.
No ano passado, o Departamento do Tesouro dos EUA sancionou a Tornado Cash, afirmando que ela ajudou o grupo de hackers norte-coreano, Lazarus Group, a direcionar aproximadamente US$ 7 bilhões em fundos obtidos a partir de vários exploits. O infame Lazarus Group é conhecido no meio cripto por roubar de protocolos DeFi proeminentes. Essa acusação levou à prisão do criador da Tornado Cash, Alexy Pertsev, por acusações de lavagem de dinheiro em agosto, incitando uma onda de indignação pública.
Como retaliação a esses exploits amplamente divulgados, a sanção foi imposta pelo Escritório de Controle de Ativos Estrangeiros (OFAC) do Departamento do Tesouro à Tornado Cash, colocando endereços supostamente ligados ao mixer em sua Lista de Nacionais Especialmente Designados e Pessoas Bloqueadas. Consequentemente, é ilegal para pessoas dos EUA interagir com esses endereços sob ameaça de multas substanciais e prisão.
Dados do token $TORN, 21 de maio de 2023. 9:00 UTC // Fonte: CoinMarketCap
Dados da CoinMarketCap revelam uma queda significativa na atividade da Tornado Cash após esses acontecimentos, com os volumes de transação diminuindo em média 40% hora a hora nas últimas 24 horas. A perda informada de cerca de 10.000 tokens TORN foi rastreada até as atividades do ator da ameaça. As consequências deste episódio destacam a importância da inspeção rigorosa de código e da governança comunitária robusta em protocolos descentralizados.
Aviso: Este artigo é fornecido apenas para fins informativos. Ele não é oferecido nem destinado a ser usado como aconselhamento jurídico, tributário, de investimento, financeiro ou outro.