Децентрализованная платформа смешивания криптовалют Tornado Cash недавно подверглась значительной атаке на ее управление. Недавно вредоносное предложение подорвало ее систему управления, предоставив злоумышленнику полный контроль над протоколом.
Злоумышленник успешно перевел 1,2 миллиона голосов на предложение с обманным намерением 20 мая. Эта инициатива получила более 700 000 законных голосов, что позволило злоумышленнику полностью контролировать управление Tornado Cash. Этот инцидент был освещен @samczsun, исследователем из Paradigm, исследовательской технологической инвестиционной компании.
2023/05/20 в 07:25:11 UTC управление Tornado Cash фактически прекратило свое существование. С помощью вредоносного предложения злоумышленник предоставил себе 1 200 000 голосов. Поскольку это больше, чем ~700 000 законных голосов, теперь у них полный контроль.https://t.co/nY87XmrYgT pic.twitter.com/h9qjc3xRqz
— @samczsun.com (@samczsun) 20 мая 2023 г.
Атакующий утверждал, что его предложение использовало логику, схожую с ранее одобренным предложением сообщества. Однако оно скрывало коварную функцию. После одобрения злоумышленник использовал функцию emergencyStop в контракте управления, чтобы изменить логику предложения, предоставив себе фальсифицированные голоса.
Имея полный контроль, злоумышленник теперь может отозвать все заблокированные голоса, слить токены из контракта управления и фактически «заблокировать» маршрутизатор в цепочке. Последние твиты @samczsun по этому вопросу предполагают, что злоумышленник уже отозвал 10 000 голосов в виде токенов TORN и ликвидировал их.
Это старательно подчеркивает необходимость тщательного изучения и надлежащего обзора описаний и логики предложений. Член сообщества Tornado Cash, известный под псевдонимом Tornadosaurus-Hex, подтвердил возможную компрометацию всех фондов управления и призвал участников отозвать любые заблокированные средства.
Команда Tornado Cash сейчас активно ищет разработчиков Solidity, которые могли бы помочь защитить протокол от дальнейшего ущерба. Они также указали на необходимость диалога с Binance, поскольку биржа владеет большим количеством токенов, чем злоумышленник, и может помочь обратить вспять функции, реализованные через эксплойт.
Дело Tornado Cash недавно получило поддержку от крупных групп по политике и защите криптовалют. Ассоциация блокчейна и Фонд образования DeFi совместно подали краткое изложение amicus curiae в поддержку ходатайства истца о частичном упрощенном судебном решении против Министерства финансов США.
В прошлом году Министерство финансов США ввело санкции против Tornado Cash, заявив, что компания помогала северокорейской хакерской группе Lazarus Group вывести около 7 миллиардов долларов, полученных в результате различных эксплойтов. Печально известная Lazarus Group известна в криптосфере кражами из известных протоколов DeFi. Это обвинение привело к аресту создателя Tornado Cash Алексея Перцева по обвинению в отмывании денег в августе, что вызвало общественный резонанс.
В ответ на эти широко распространенные эксплойты Управление по контролю за иностранными активами (OFAC) Министерства финансов США ввело санкции против Tornado Cash, поместив адреса, предположительно связанные с миксером, в свой Список граждан особых категорий и заблокированных лиц. Следовательно, гражданам США незаконно взаимодействовать с этими адресами под угрозой значительных штрафов и тюремного заключения.
Данные токена $TORN, 21 мая 2023 г. 9:00 UTC // Источник: CoinMarketCap
Данные CoinMarketCap показывают значительное снижение активности Tornado Cash после этих событий, при этом объемы транзакций снизились в среднем на 40% в час за последние 24 часа. Сообщаемая потеря примерно 10 000 токенов TORN была отслежена до действий злоумышленника. Последствия этого эпизода подчеркивают важность строгой проверки кода и надежного управления сообществом в децентрализованных протоколах.
Отказ от ответственности: Эта статья предоставляется только в информационных целях. Она не предлагается и не предназначена для использования в качестве юридической, налоговой, инвестиционной, финансовой или иной консультации.