El atacante secuestra el gobierno de efectivo de Tornado con una sugerencia maliciosa

Además de los obstáculos existentes del mezclador criptográfico descentralizado Tornado Cash, un atacante logró tomar el control completo del gobierno a través de una propuesta maliciosa.

El 20 de mayo a las 3:25 ET, un atacante otorgó con éxito 1,2 millones de votos a una propuesta maliciosa. Debido a que la propuesta recibió más de 700.000 votos legítimos, el atacante obtuvo el control total sobre el gobierno de Tornado Cash.

El 20/05/2023 a las 07:25:11 UTC, la gobernanza de efectivo de Tornado prácticamente dejó de existir. A través de una sugerencia maliciosa, un atacante consiguió 1.200.000 votos. Dado que esto es más de los 700.000 votos legítimos, ahora tienen el control total.https://t.co/nY87XmrYgT pic.twitter.com/h9qjc3xRqz

— @samczsun.com (@samczsun) 20 de mayo de 2023

La información fue compartida por @samczsun de la firma de inversión en tecnología basada en investigación Paradigm, quien reveló que al propagar la sugerencia maliciosa, el atacante afirmó que usó una lógica similar a una sugerencia previamente aceptada por la comunidad. Esta vez, sin embargo, la propuesta tenía una función adicional.

Como lo explica @samczsun:

“Una vez que los votantes aceptaron la propuesta, el atacante simplemente usó la función EmergencyStop para actualizar la lógica de la propuesta y otorgarse los votos falsos”.

El control total sobre el gobierno de Tornado Cash le permite al atacante revocar todos los votos suspendidos, revocar todos los tokens en el contrato de gobierno y bloquear el enrutador. Al momento de escribir, el atacante “simplemente retiró 10,000 votos como un TORN y vendió todo”, dijo @samczsun.

El ataque tiene como objetivo recordar a los criptoinversionistas que verifiquen dos veces las descripciones y la lógica de las propuestas. Una comunidad activa de Tornado Cash conocida como Tornadosaurus-Hex o Mr. Tornadosaurus Hex confirmó que todos los fondos en Governance están potencialmente en riesgo e instó a todos los miembros a retirar todos los fondos bloqueados en Governance.

Como se muestra arriba, también intentaron implementar un contrato que potencialmente podría revertir los cambios, mientras proponía a la comunidad retirar sus fondos. Cointelegraph también recibió una llamada de socorro de un desarrollador de la comunidad Tornado Cash que confirmó los desarrollos anteriores, afirmando:

“Hubo un ataque al protocolo esta mañana, del que ya están al tanto. Todo el día, otro desarrollador de la comunidad y yo hemos estado pensando qué hacer, pero la situación es casi desesperada: actualmente, el atacante controla el gobierno”.

Actualmente, el equipo está buscando desarrolladores de Solidity que puedan ayudar a salvar el protocolo de la extinción. También declararon: “Necesitamos contacto con Binance; este intercambio tiene más tokens que el atacante”.

Relacionado: Allbridge pone recompensa al explotador que robó $ 573,000 en un ataque de préstamo rápido

Según los informes, un ex desarrollador de Tornado Cash está trabajando para construir un nuevo servicio de mezcla de criptografía desde cero que solucionará el “error crítico” de Tornado Cash.

1/ Lo arreglamos @tornadocash 😇

v0 de https://t.co/Nt4b2Tgx1D está en vivo @optimismFND

Pruebe la demostración, pero tenga en cuenta:
– Este es código experimental
– No se ha comprobado
– La configuración de confianza no es de confianza

Lea toda la historia directamente 🧵👇https://t.co/9nAU3RrgpN

— Ameen Soleimani (@ameensol) 4 de marzo de 2023