Nền tảng trộn tiền điện tử phi tập trung Tornado Cash gần đây đã phải hứng chịu một cuộc tấn công đáng kể vào hoạt động quản trị của nó. Một đề xuất độc hại gần đây đã phá hủy hệ thống quản trị của nó, cung cấp cho tác nhân đe dọa toàn quyền kiểm soát giao thức.

Kẻ đe dọa đã chuyển thành công 1,2 triệu phiếu bầu sang một đề xuất có mục đích lừa đảo vào ngày 20 tháng 5. Sáng kiến ​​này đã nhận được hơn 700.000 phiếu bầu hợp pháp, cho phép kẻ tấn công có toàn quyền kiểm soát Tornado Cash. Sự việc này được nhấn mạnh bởi @samczsun, một nhà nghiên cứu tại Paradigm, một công ty đầu tư công nghệ định hướng nghiên cứu.

Vào ngày 20/05/2023 lúc 07:25:11 UTC, hoạt động quản trị Tornado Cash thực tế đã không còn tồn tại. Thông qua một đề xuất độc hại, kẻ tấn công đã tự cấp cho mình 1.200.000 phiếu bầu. Vì con số này nhiều hơn ~ 700.000 phiếu bầu hợp pháp nên giờ đây họ có toàn quyền kiểm soát.https://t.co/nY87XmrYgT pic.twitter.com/h9qjc3xRqz

- @samczsun.com (@samczsun) Ngày 20 tháng 5 năm 2023

Kẻ tấn công tuyên bố đề xuất của họ sử dụng logic giống như đề xuất cộng đồng đã được phê duyệt trước đó. Tuy nhiên, nó che giấu một chức năng quỷ quyệt. Sau khi được phê duyệt, kẻ tấn công đã sử dụng chức năng EmergencyStop trên hợp đồng quản trị để sửa đổi logic đề xuất, tự cấp cho mình những phiếu bầu giả mạo.

Với toàn quyền kiểm soát, kẻ tấn công giờ đây có thể rút tất cả các phiếu bầu bị khóa, rút ​​token khỏi hợp đồng quản trị và “đóng gạch” bộ định tuyến trên chuỗi một cách hiệu quả. Các tweet mới nhất của @samczsun về vấn đề này cho thấy kẻ tấn công đã rút 10.000 phiếu bầu dưới dạng token TORN và thanh lý chúng.

Điều này nhấn mạnh sự cần thiết phải xem xét kỹ lưỡng và xem xét thích hợp các mô tả và logic của đề xuất. Một thành viên cộng đồng Tornado Cash có bút danh là Tornadosaurus-Hex đã xác nhận khả năng xâm phạm tất cả các quỹ quản trị và kêu gọi các thành viên rút bất kỳ khoản tiền bị khóa nào.

Nhóm của Tornado Cash hiện đang tích cực tìm kiếm các nhà phát triển Solidity, những người có thể giúp bảo vệ giao thức khỏi bị hư hại thêm. Họ cũng chỉ ra sự cần thiết phải đối thoại với Binance, vì sàn giao dịch sở hữu nhiều token được nắm giữ hơn tác nhân đe dọa và có thể giúp đảo ngược các chức năng được triển khai thông qua việc khai thác.

Trường hợp Tornado Cash gần đây đã nhận được sự hỗ trợ từ các nhóm vận động và chính sách tiền điện tử lớn. Hiệp hội Blockchain và Quỹ Giáo dục DeFi đã cùng nhau đệ trình một bản tóm tắt amicus curiae để hỗ trợ kiến ​​nghị phán quyết tóm tắt một phần cho nguyên đơn chống lại Bộ Tài chính Hoa Kỳ.

Năm ngoái, Bộ Tài chính Hoa Kỳ đã trừng phạt Tornado Cash, khẳng định rằng nó đã hỗ trợ nhóm hack Triều Tiên, Lazarus Group, trong việc huy động số tiền trị giá khoảng 7 tỷ USD thu được từ nhiều hoạt động khai thác khác nhau. Nhóm Lazarus khét tiếng trong lĩnh vực tiền điện tử vì đã đánh cắp các giao thức DeFi nổi bật. Lời buộc tội này đã dẫn đến việc bắt giữ người tạo ra Tornado Cash, Alexy Pertsev, vì tội rửa tiền vào tháng 8, gây ra sự phản đối kịch liệt của công chúng.

Để trả thù cho những hoạt động khai thác rộng rãi này, Văn phòng Kiểm soát Tài sản Nước ngoài (OFAC) của Bộ Tài chính đã áp dụng lệnh trừng phạt đối với Tornado Cash, đưa các địa chỉ được cho là có liên quan đến máy trộn vào Danh sách những Quốc gia bị chỉ định đặc biệt và những người bị chặn. Do đó, việc người Hoa Kỳ tương tác với những địa chỉ đó là bất hợp pháp nếu bị đe dọa phạt tiền và phạt tù đáng kể.

Dữ liệu về token $TORN, ngày 21 tháng 5 năm 2023. 9:00 UTC // Nguồn: CoinMarketCap

Dữ liệu từ CoinMarketCap cho thấy hoạt động của Tornado Cash giảm đáng kể sau những diễn biến này, với khối lượng giao dịch giảm trung bình 40% mỗi giờ trong vòng 24 giờ qua. Việc mất khoảng 10.000 token TORN được báo cáo có liên quan đến hoạt động của kẻ đe dọa. Hậu quả của tình tiết này nhấn mạnh tầm quan trọng của việc kiểm tra mã nghiêm ngặt và quản trị cộng đồng mạnh mẽ trong các giao thức phi tập trung.

Tuyên bố miễn trừ trách nhiệm: Bài viết này được cung cấp chỉ nhằm mục đích cung cấp thông tin. Nó không được cung cấp hoặc nhằm mục đích sử dụng làm tư vấn pháp lý, thuế, đầu tư, tài chính hoặc tư vấn khác.