Tornado Cash DAO a vu apparaître une proposition de gouvernance suspecte, les chercheurs avertissent qu'il pourrait s'agir d'une attaque contre le trésor de 23 millions de dollars.

Rapport de Golden Finance, le 26 juin, le chercheur en sécurité blockchain Sergey Shemyakov a émis un avertissement le 25 juin, signalant qu'une proposition de gouvernance hautement suspecte est apparue dans Tornado Cash DAO il y a environ 8 heures, appelant la communauté à un examen indépendant.

Cette proposition présente plusieurs signaux anormaux. Premièrement, le code du contrat de la proposition n'a pas été vérifié, ce qui est extrêmement rare dans l'historique des propositions de Tornado Cash DAO ; le chercheur estime que cela constitue en soi un signal clair d'une proposition malveillante. Deuxièmement, l'adresse du créateur de la proposition a reçu des fonds il y a 4 jours via le protocole de confidentialité Railgun, avec une source obscurcie, un comportement hautement suspect. Troisièmement, la description de la proposition semble être un emballage trompeur, mais le cœur réside dans son contrat cible — une fois la proposition adoptée et exécutée, le contrat de gouvernance appellera la fonction du contrat cible via delegatecall, ce qui signifie que l'attaquant pourrait ainsi obtenir des privilèges extrêmement élevés.

Le chercheur souligne que la sécurité du pool de mixage de Tornado Cash elle-même n'est pas affectée, mais si cette proposition est adoptée avec succès, elle constituerait très probablement une attaque directe contre Tornado Cash DAO elle-même ; le trésor du DAO contient actuellement environ 23 millions de dollars de jetons TORN, qui sont en danger. En 2022, Tornado Cash DAO avait subi une attaque similaire, où des attaquants avaient réussi à prendre le contrôle du protocole via une proposition de gouvernance malveillante. Le chercheur appelle tous les détenteurs de jetons TORN à rester extrêmement vigilants avant le vote sur la proposition.