Atacante assume o controle do Tornado Cash DAO com fraude de votação, token cai 40%

O DAO que administra as operações, fundos e planos futuros do misturador de Cripto focado em privacidade Tornado Cash foi efetivamente assumido por um invasor não identificado, ou grupo de invasores, no sábado.

DAOs, abreviação de descentralized autonomous organisations, permitem que detentores de tokens bloqueiem seus holdings como votos para propor mudanças em um projeto. Essas mudanças podem variar desde a implantação de fundos do tesouro para propósitos que beneficiam o projeto até a expansão em outras redes.

No início do fim de semana, o invasor lançou uma proposta maliciosa que escondia uma função de código que concedia votos falsos que agora podem ser usados para lidar com alguns aspectos do Tornado Cash, como tokens rasgados (TORN) mantidos no contrato principal de governança ou retirada de tokens rasgados bloqueados.

Isso foi feito FORTH uma proposta que imitava uma versão anterior – exceto com algum código malicioso que permitia a atualização da lógica que dava ao invasor acesso a todos os votos de governança.

“Agora que eles têm todos os votos, eles podem fazer o que quiserem”, tuitou o pesquisador de segurança @samczsun no domingo. “Neste caso, eles simplesmente retiraram 10.000 votos como TORN e venderam tudo.”

Como tal, este ataque não impacta o protocolo Tornado Cash real – que permite que os usuários passem fundos pelo serviço para MASK ou obscurecer os movimentos de fundos e endereços Cripto . Este ataque não foi uma exploração de quaisquer contratos inteligentes ou Tecnologia relacionada ao funcionamento do Tornado Cash.

Enquanto isso, a comunidade Tornado Cash apresentou novas propostas que buscam reverteralterações feitas no código. Um membro da comunidade observou que o agressor tinha cunhado maliciosamentemais de 1 milhão rasgados para si mesmos, valendo mais de US$ 4 milhões a preços atuais.

Outros sugeriram fazer um novo contrato e fazer o airdropnovos tokens para detentores.

Os preços caíram até 40% nas últimas 24 horas como resultado do ataque à governança,dados mostram.