Tornado Cash DAO появилось подозрительное предложение по управлению! Исследователь предупреждает о контроле над казной в 23 миллиона долларов.

Блокчейн-исследователь безопасности Сергей Шемяков 25 июня на платформе X опубликовал экстренное предупреждение о том, что примерно 8 часов назад в Tornado Cash DAO появилось крайне подозрительное предложение по управлению: код контракта не был проверен, средства инициатора были скрыты через протокол конфиденциальности Railgun, а целевой контракт использует механизм delegatecall — в случае выполнения атакующий может получить контроль над почти 23 миллионами долларов TORN из казны DAO.
(Предыстория: Министерство финансов США отменило санкции против миксера Tornado Cash, TORN взлетел на 74%)
(Дополнение: Основателю миксера Tornado Cash грозит 64 месяца тюрьмы! Прокуратура Нидерландов: он создал глобальный рассадник отмывания денег)

Содержание

Toggle

• Подробный анализ четырех аномальных сигналов
• Пул миксера безопасен, казна DAO — единственная цель
• Повторение истории 2023 года?

Блокчейн-исследователь безопасности Сергей Шемяков 25 июня на платформе X опубликовал предупреждение о том, что примерно 8 часов назад в Tornado Cash DAO появилось крайне подозрительное предложение по управлению, призвав сообщество провести независимую проверку. В предложении имеется несколько аномальных сигналов, и в случае его выполнения это может напрямую угрожать токенам TORN стоимостью около 23 миллионов долларов в казне DAO.

Подробный анализ четырех аномальных сигналов

Исследователь перечислил четыре опасные особенности предложения. Во-первых, код контракта предложения не был проверен — это крайне редко встречается в истории предложений Tornado Cash DAO, и исследователь считает, что сам по себе этот факт является явным признаком злонамеренных намерений. Во-вторых, адрес создателя предложения получил средства через протокол конфиденциальности Railgun 4 дня назад, источник скрыт, модель поведения крайне подозрительна. В-третьих, описание предложения, по-видимому, содержит вводящую в заблуждение упаковку, направленную на то, чтобы отвлечь голосующих от реальных рисков.

Но самая критическая аномалия заключается в четвертом пункте: в случае принятия и выполнения предложения управляющий контракт вызовет функцию целевого контракта через delegatecall. Этот механизм означает, что атакующий может получить чрезвычайно высокие привилегии в DAO, включая контроль над выводом средств из казны.

Пул миксера безопасен, казна DAO — единственная цель

Исследователь подчеркнул, что контракты пула самого Tornado Cash не затронуты этим предложением, средства пользователей в безопасности. Цель данной атаки полностью сосредоточена на уровне управления DAO — если предложение будет принято, атакующий сможет напрямую распоряжаться токенами TORN стоимостью около 23 миллионов долларов из казны DAO, не влияя на работу сервиса миксера.

Повторение истории 2023 года?

Примечательно, что Tornado Cash DAO сталкивается с подобными угрозами не впервые. В мае 2023 года атакующий с помощью вредоносного предложения по управлению успешно получил 1,2 миллиона фиктивных голосов, захватил контроль над протоколом и украл 10 000 TORN, что привело к падению цены монеты на 50%. Тогда OpenZeppelin охарактеризовал эту атаку как «метаморфическую атаку» (metamorphic attack), подчеркнув внутреннюю уязвимость механизма управления DAO.

Шемяков призвал всех держателей TORN сохранять высокую бдительность до того, как предложение официально вступит в фазу голосования, самостоятельно проверять содержание предложения и не голосовать вслепую.