Kinuha ng Attacker ang Tornado Cash DAO Gamit ang Panloloko sa Boto, Bumaba ang Token ng 40%

Ang DAO sa pangangasiwa ng mga operasyon, mga pondo at mga plano sa hinaharap ng Crypto mixer na nakatutok sa privacy na Tornado Cash ay epektibong kinuha ng isang hindi kilalang umaatake, o grupo ng mga umaatake, noong Sabado.

Ang mga DAO, na maikli para sa mga desentralisadong autonomous na organisasyon, ay nagpapahintulot sa mga may hawak ng token na i-lock ang kanilang mga hawak bilang mga boto para sa pagmumungkahi ng mga pagbabago sa isang proyekto. Ang mga pagbabagong ito ay maaaring mula sa pag-deploy ng mga pondo ng treasury hanggang sa mga layuning makikinabang sa proyekto hanggang sa pagpapalawak sa ibang mga network.

Sa simula ng weekend, nagpalutang ang attacker ng malisyosong panukala na nagtago ng code function na nagbigay sa kanila ng mga pekeng boto na magagamit na ngayon para pangasiwaan ang ilang aspeto ng Tornado Cash, gaya ng torn (TORN) token na hawak sa pangunahing kontrata ng pamamahala o pag-withdraw ng mga naka-lock na punit na token.

Ginawa ito sa pamamagitan ng FORTH ng panukala na ginaya ang isang naunang bersyon – maliban sa ilang malisyosong code na nagpapahintulot sa pag-update ng lohika na nagbigay ng access sa umaatake sa lahat ng mga boto sa pamamahala.

"Ngayong nasa kanila na ang lahat ng boto, magagawa na nila ang anumang gusto nila," tweet ng security research @samczsun noong Linggo. "Sa kasong ito, nag-withdraw lang sila ng 10,000 boto bilang TORN at ibinenta ang lahat."

Dahil dito, hindi naaapektuhan ng pag-atakeng ito ang aktwal na protocol ng Tornado Cash – na nagpapahintulot sa mga user na magpasa ng mga pondo sa pamamagitan ng serbisyo upang i-MASK o takpan ang mga paggalaw ng mga pondo at mga Crypto address. Ang pag-atake na ito ay hindi isang pagsasamantala ng anumang matalinong kontrata o Technology na nauugnay sa pagtatrabaho ng Tornado Cash.

Samantala, ang komunidad ng Tornado Cash ay naglagay ng mga bagong panukala na naglalayong ibalik mga pagbabagong ginawa sa code. Naobserbahan ng ONE miyembro ng komunidad na ang umaatake ay nagkaroon maliciously minted mahigit 1 milyon ang napunit para sa kanilang sarili, nagkakahalaga ng mahigit $4 milyon sa kasalukuyang mga presyo.

Iminungkahi ng iba na gumawa ng isang bagong kontrata sa kabuuan at mag-airdrop mga bagong token sa mga may hawak.

Bumagsak ang mga napunit na presyo ng hanggang 40% sa nakalipas na 24 na oras bilang resulta ng pag-atake sa pamamahala, nagpapakita ng data.