Tornado Cash DAO يظهر مقترح حوكمة مريب! يحذر الباحثون من السيطرة على خزانة بقيمة 23 مليون دولار

قال باحث أمني في مجال البلوكتشين، سيرجي شيمياكوف، في منصة X يوم 25 يونيو تحذيرًا عاجلًا، مشيرًا إلى ظهور اقتراح حوكمة شديد الريبة في DAO الخاصة بـ Tornado Cash قبل حوالي 8 ساعات، حيث أن كود العقد غير موثّق، وأموال مقدم الاقتراح تم إخفاء مصدرها عبر بروتوكول الخصوصية Railgun، والعقد المستهدف يستخدم آلية delegatecall — إذا تم تنفيذه، يمكن للمهاجم السيطرة على ما يقرب من 23 مليون دولار من رموز TORN في خزينة DAO.
(خلفية سابقة: وزارة الخزانة الأمريكية تلغي العقوبات على خلاط العملات Tornado Cash، وترتفع TORN بنسبة 74%)
(خلفية إضافية: مؤسس خلاط العملات Tornado Cash قد يواجه حكمًا بالسجن 64 شهرًا! النيابة الهولندية: لقد خلق وكرًا عالميًا لغسيل الأموال)

فهرس المحتويات

Toggle

• تحليل أربع إشارات شاذة بالتفصيل
• سلامة مجمع الخلط، خزينة DAO هي الهدف الوحيد
• هل يتكرر تاريخ 2023؟

حذر باحث أمني في مجال البلوكتشين، سيرجي شيمياكوف، في منصة X يوم 25 يونيو، مشيرًا إلى ظهور اقتراح حوكمة شديد الريبة في DAO الخاصة بـ Tornado Cash قبل حوالي 8 ساعات، داعيًا المجتمع إلى مراجعة مستقلة. يحتوي الاقتراح على عدة إشارات شاذة، وإذا تم تمريره وتنفيذه، فقد يهدد مباشرة رموز TORN بقيمة حوالي 23 مليون دولار في خزينة DAO.

تحليل أربع إشارات شاذة بالتفصيل

عدد الباحث أربع خصائص خطيرة لهذا الاقتراح. الأولى: كود العقد غير موثّق — وهذا نادر جدًا في الاقتراحات التاريخية لـ Tornado Cash DAO، ويعتبر الباحث أن هذا الفعل بحد ذاته يشكل إشارة واضحة على نية خبيثة. الثانية: عنوان منشئ الاقتراح حصل على أموال قبل 4 أيام عبر بروتوكول الخصوصية Railgun، مما يخفي المصدر، وسلوكه مشبوه للغاية. الثالثة: محتوى وصف الاقتراح يشبه تغليفًا تضليليًا، يهدف إلى تضليل المصوتين لتجاهل المخاطر الحقيقية.

لكن أهم شذوذ هو النقطة الرابعة: بمجرد تمرير وتنفيذ العقد المستهدف للاقتراح، سيقوم عقد الحوكمة باستدعاء دالة العقد المستهدف بطريقة delegatecall. هذه الآلية تعني أن المهاجم يمكنه الحصول على صلاحيات عالية جدًا في DAO، بما في ذلك التحكم في سحب أموال الخزينة.

سلامة مجمع الخلط، خزينة DAO هي الهدف الوحيد

أكد الباحث أن عقود مجمع الخلط الخاصة بـ Tornado Cash نفسها لا تتأثر بهذا الاقتراح، وأموال المستخدمين آمنة. الهجوم هذه المرة يستهدف فقط طبقة حوكمة DAO — إذا نجح الاقتراح، يمكن للمهاجم استخدام رموز TORN بقيمة حوالي 23 مليون دولار في خزينة DAO مباشرة، دون التأثير على تشغيل خدمة الخلط.

هل يتكرر تاريخ 2023؟

من الجدير بالذكر أن Tornado Cash DAO ليست المرة الأولى التي تواجه فيها مثل هذا التهديد. في مايو 2023، نجح مهاجم من خلال اقتراح حوكمة خبيث في الحصول على 1.2 مليون صوت وهمي، والاستيلاء على السيطرة على البروتوكول وسرقة 10,000 TORN، مما تسبب في انخفاض سعر الرمز بنسبة 50% في ذلك الوقت. آنذاك، وصفت OpenZeppelin هذا الهجوم بأنه "هجوم تحولي" (metamorphic attack)، مما يسلط الضوء على ضعف متأصل في آلية حوكمة DAO.

يدعو شيمياكوف جميع حاملي رموز TORN إلى البقاء في حالة يقظة عالية قبل أن يدخل الاقتراح رسميًا مرحلة التصويت، والتحقق بشكل مستقل من محتوى الاقتراح، وعدم التصويت بشكل أعمى.