¡Aparece una propuesta de gobernanza sospechosa en Tornado Cash DAO! Investigador advierte sobre el control de la tesorería de 23 millones de dólares.

El investigador de seguridad blockchain Sergey Shemyakov emitió una alerta urgente en la plataforma X el 25 de junio, señalando que hace aproximadamente 8 horas apareció una propuesta de gobernanza altamente sospechosa en Tornado Cash DAO. El código del contrato no estaba verificado, los fondos del proponente se originaron a través del protocolo de privacidad Railgun para ocultar la fuente, y el contrato objetivo utiliza el mecanismo delegatecall: si se ejecuta, el atacante podría obtener el control de casi 23 millones de dólares en TORN del tesoro de la DAO.
(Resumen anterior: El Departamento del Tesoro de EE.UU. revoca las sanciones al mezclador Tornado Cash, TORN se dispara un 74%)
(Complemento de contexto: El fundador del mezclador Tornado Cash podría enfrentar 64 meses de prisión; la fiscalía holandesa: creó un semillero global de lavado de dinero)

Índice de este artículo

Toggle

• Análisis detallado de las cuatro señales anómalas
• El fondo de mezcla seguro, el tesoro de la DAO como único objetivo
• ¿Se repite la historia de 2023?

El investigador de seguridad blockchain Sergey Shemyakov emitió una advertencia en la plataforma X el 25 de junio, indicando que hace aproximadamente 8 horas apareció una propuesta de gobernanza altamente sospechosa en Tornado Cash DAO, instando a la comunidad a realizar una revisión independiente. Esta propuesta presenta múltiples señales anómalas; si se ejecuta, podría amenazar directamente los aproximadamente 23 millones de dólares en tokens TORN del tesoro de la DAO.

Análisis detallado de las cuatro señales anómalas

El investigador enumera cuatro características peligrosas de esta propuesta. Primero, el código del contrato de la propuesta no está verificado—esto es extremadamente raro en las propuestas históricas de Tornado Cash DAO, y el investigador considera que esto por sí solo constituye una señal clara de intenciones maliciosas. Segundo, la dirección del creador de la propuesta obtuvo fondos a través del protocolo de privacidad Railgun hace 4 días, con un origen confuso y un patrón de comportamiento altamente sospechoso. Tercero, la descripción de la propuesta parece tener un empaque engañoso, con la intención de inducir a los votantes a ignorar el verdadero riesgo.

Pero la anomalía más crucial es la cuarta: una vez que el contrato objetivo de la propuesta se apruebe y ejecute, el contrato de gobernanza llamará a las funciones del contrato objetivo mediante delegatecall. Este mecanismo significa que el atacante podría obtener permisos extremadamente altos dentro de la DAO, incluyendo el control de la extracción de fondos del tesoro.

El fondo de mezcla seguro, el tesoro de la DAO como único objetivo

El investigador enfatiza que los contratos del fondo de mezcla de Tornado Cash no se ven afectados por esta propuesta, y los fondos de los usuarios están seguros. El objetivo de este ataque está completamente centrado en la capa de gobernanza de la DAO—si la propuesta es aprobada, el atacante podría disponer directamente de los aproximadamente 23 millones de dólares en tokens TORN del tesoro de la DAO, sin afectar el funcionamiento del servicio de mezcla.

¿Se repite la historia de 2023?

Es destacable que Tornado Cash DAO no enfrenta esta amenaza por primera vez. En mayo de 2023, un atacante logró obtener 1.2 millones de votos falsos a través de una propuesta de gobernanza maliciosa, tomando el control del protocolo y robando 10,000 TORN, lo que provocó una caída del 50% en el precio del token. En ese momento, OpenZeppelin clasificó este ataque como un "ataque metamórfico" (metamorphic attack), subrayando la vulnerabilidad inherente del mecanismo de gobernanza de la DAO.

Shemyakov insta a todos los titulares de tokens TORN a permanecer altamente vigilantes antes de que la propuesta entre formalmente en la fase de votación, verificando el contenido de la propuesta de forma independiente y evitando votar ciegamente.