去中心化加密貨幣混合平台 Tornado Cash 最近的治理遭受了重大攻擊。最近的一項惡意提案顛覆了其治理系統，使威脅行為者能夠完全控制該協定。

5 月 20 日，威脅行為者成功地將 120 萬張選票轉移到了一項具有欺騙性意圖的提案上。這項措施獲得了超過 70 萬張合法選票，使攻擊者能夠完全掌控 Tornado Cash 治理。研究驅動型技術投資公司 Paradigm 的研究員 @samczsun 強調了這起事件。

世界標準時間 2023 年 5 月 20 日 07:25:11，Tornado Cash 治理實際上已不復存在。透過惡意提案，攻擊者為自己授予了 1,200,000 票。由於這超過了約 70 萬張合法選票，他們現在擁有完全控制權。

— @samczsun.com (@samczsun) 2023 年 5 月 20 日

攻擊者聲稱他們的提案採用了類似於先前批准的社區提案的邏輯。然而，它卻隱藏著一個陰險的功能。一旦獲得批准，攻擊者就會利用治理合約上的 EmergencyStop 功能來修改提案邏輯，從而獲得偽造的選票。

有了完全控制權，攻擊者現在可以撤回所有鎖定的投票，從治理合約中耗盡代幣，並有效地「堵塞」鏈上路由器。 @samczsun 關於此事的最新推文表明，攻擊者已經撤回了 10,000 張選票作為 TORN 代幣並將其清算。

這有力地強調了對提案描述和邏輯進行認真審查和適當審查的必要性。一位化名 Tornadosaurus-Hex 的 Tornado Cash 社群成員確認所有治理資金可能受到損害，並敦促成員撤回任何鎖定的資金。

Tornado Cash 的團隊現在正在積極尋找能夠幫助保護協議免受進一步損害的 Solidity 開發人員。他們還表示有必要與幣安進行對話，因為該交易所擁有比威脅行為者更多的代幣，並且可能能夠幫助逆轉透過該漏洞實現的功能。

Tornado Cash 案件最近得到了主要加密貨幣政策和倡導團體的支持。區塊鏈協會和 DeFi 教育基金共同提交了一份法庭之友陳述，支持原告針對美國財政部提出的部分簡易判決動議。

去年，美國財政部製裁了 Tornado Cash，聲稱該公司協助北韓駭客組織 Lazarus Group 轉移透過各種攻擊獲得的價值約 70 億美元的資金。臭名昭著的拉撒路集團 (Lazarus Group) 在加密貨幣領域因竊取著名的 DeFi 協議而臭名昭著。這項指控導致 Tornado Cash 的創始人 Alexy Pertsev 在 8 月因洗錢罪名被捕，引發了公眾的強烈抗議。

為了報復這些廣泛的利用行為，財政部外國資產管制辦公室 (OFAC) 對 Tornado Cash 實施了製裁，將據稱與混合器相關的地址列入其特別指定國民和封鎖人員名單。因此，美國人與這些地址互動是非法的，否則將面臨巨額罰款和監禁。

$TORN 代幣數據，2023 年 5 月 21 日 9:00 UTC // 來源：CoinMarketCap

CoinMarketCap 的數據顯示，在這些事態發展之後，Tornado Cash 的活動顯著減少，過去 24 小時內交易量平均每小時下降 40%。據報道，大約 10,000 個 TORN 代幣的損失可追溯到威脅行為者的活動。這事件的後果凸顯了去中心化協議中嚴格的程式碼檢查和強大的社群治理的重要性。

免責聲明：本文僅供參考。它不提供或旨在用作法律、稅務、投資、財務或其他建議。