Tornado Cash DAO xuất hiện đề xuất quản trị đáng ngờ! Nhà nghiên cứu cảnh báo quyền kiểm soát kho bạc 23 triệu đô la Mỹ

Nhà nghiên cứu bảo mật blockchain Sergey Shemyakov đã đưa ra cảnh báo khẩn cấp trên nền tảng X vào ngày 25 tháng 6, chỉ ra rằng khoảng 8 giờ trước, Tornado Cash DAO đã xuất hiện một đề xuất quản trị có độ khả nghi cao. Mã hợp đồng chưa được xác minh, nguồn tiền của người đề xuất bị che giấu thông qua giao thức bảo mật Railgun, và hợp đồng mục tiêu sử dụng cơ chế delegatecall — nếu được thông qua, kẻ tấn công có thể kiểm soát gần 23 triệu USD TORN trong kho bạc DAO. (Tóm tắt trước đó: Bộ Tài chính Mỹ hủy bỏ lệnh trừng phạt đối với máy trộn tiền Tornado Cash, TORN tăng vọt 74%) (Bối cảnh bổ sung: Người sáng lập máy trộn tiền Tornado Cash có thể bị kết án 64 tháng tù! Công tố viên Hà Lan: Anh ta tạo ra ổ rửa tiền toàn cầu)

Mục lục

Toggle

• Phân tích từng tín hiệu bất thường trong bốn điểm
• Bể trộn an toàn, kho bạc DAO là mục tiêu duy nhất
• Lịch sử năm 2023 lặp lại?

Nhà nghiên cứu bảo mật blockchain Sergey Shemyakov đã đưa ra cảnh báo trên nền tảng X vào ngày 25 tháng 6, chỉ ra rằng khoảng 8 giờ trước, Tornado Cash DAO đã xuất hiện một đề xuất quản trị có độ khả nghi cao, kêu gọi cộng đồng tự xem xét độc lập. Đề xuất này có nhiều tín hiệu bất thường, nếu được thông qua và thực thi, có thể trực tiếp đe dọa 23 triệu USD TORN trong kho bạc DAO.

Phân tích từng tín hiệu bất thường trong bốn điểm

Nhà nghiên cứu liệt kê bốn đặc điểm nguy hiểm của đề xuất này. Thứ nhất, mã hợp đồng của đề xuất chưa được xác minh — điều này cực kỳ hiếm trong các đề xuất lịch sử của Tornado Cash DAO, và nhà nghiên cứu cho rằng bản thân hành động này đã là dấu hiệu rõ ràng của ý định độc hại. Thứ hai, địa chỉ người tạo đề xuất đã nhận được tiền thông qua giao thức bảo mật Railgun 4 ngày trước, nguồn gốc bị che giấu, mô hình hành vi rất đáng ngờ. Thứ ba, nội dung mô tả của đề xuất dường như được đóng gói gây hiểu lầm, nhằm đánh lừa người bỏ phiếu bỏ qua rủi ro thực sự.

Nhưng điểm bất thường quan trọng nhất là điểm thứ tư: Khi hợp đồng mục tiêu của đề xuất được thông qua và thực thi, hợp đồng quản trị sẽ gọi hàm của hợp đồng mục tiêu bằng delegatecall. Cơ chế này có nghĩa là kẻ tấn công có thể đạt được quyền rất cao trong DAO, bao gồm kiểm soát việc rút tiền từ kho bạc.

Bể trộn an toàn, kho bạc DAO là mục tiêu duy nhất

Nhà nghiên cứu nhấn mạnh rằng hợp đồng bể trộn của Tornado Cash không bị ảnh hưởng bởi đề xuất này, tiền của người dùng an toàn. Mục tiêu của cuộc tấn công lần này hoàn toàn nhắm vào lớp quản trị DAO — nếu đề xuất được thông qua, kẻ tấn công có thể trực tiếp sử dụng 23 triệu USD TORN trong kho bạc DAO, thay vì ảnh hưởng đến hoạt động của dịch vụ trộn.

Lịch sử năm 2023 lặp lại?

Đáng chú ý, Tornado Cash DAO không phải lần đầu tiên gặp phải mối đe dọa như vậy. Vào tháng 5 năm 2023, kẻ tấn công đã thông qua một đề xuất quản trị độc hại, thành công có được 1,2 triệu phiếu bầu giả, giành quyền kiểm soát giao thức và đánh cắp 10.000 TORN, khiến giá token giảm 50% trong một thời gian. Khi đó, OpenZeppelin đã phân loại cuộc tấn công này là "tấn công biến hình" (metamorphic attack), làm nổi bật tính dễ tổn thương vốn có của cơ chế quản trị DAO.

Shemyakov kêu gọi tất cả người nắm giữ token TORN duy trì cảnh giác cao độ trước khi đề xuất chính thức bước vào giai đoạn bỏ phiếu, tự xác minh nội dung đề xuất, không bỏ phiếu một cách mù quáng.