Вредоносное предложение использует управление денежными средствами Tornado

Децентрализованная платформа микширования криптовалют Tornado Cash недавно пострадала от значительного нападение на его руководство. Вредоносное предложение недавно подорвало систему управления, предоставив злоумышленнику полный контроль над протоколом.

20 мая злоумышленник успешно перевел 1,2 миллиона голосов на предложение с обманными намерениями. Эта инициатива получила более 700 000 законных голосов, что позволило злоумышленнику полностью контролировать управление Tornado Cash. Об этом инциденте рассказал @samczsun, исследователь Paradigm, исследовательской инвестиционной компании в области технологий.

20 мая 2023 г. в 07:25:11 UTC управление Tornado Cash фактически прекратило свое существование. С помощью злонамеренного предложения злоумышленник предоставил себе 1 200 000 голосов. Поскольку это больше, чем ~700 000 законных голосов, теперь они имеют полный контроль.https://t.co/nY87XmrYgT pic.twitter.com/h9qjc3xRqz

— @samczsun.com (@samczsun) 20 мая 2023 г.

Злоумышленник утверждал, что в его предложении используется логика, аналогичная ранее одобренному предложению сообщества. Однако за ним скрывалась коварная функция. После одобрения злоумышленник использовал emergencyStop< функция span class="md-plain"> в контракте управления для изменения логики предложения, предоставляя себе фальсифицированные голоса.

Обладая полным контролем, злоумышленник теперь может отозвать все заблокированные голоса, истощить токены из контракта управления и эффективно «вывести из строя» сетевой маршрутизатор. Последние твиты @samczsun по этому поводу предполагают, что злоумышленник уже отозвал 10 000 голосов в виде токенов TORN и ликвидировал их.

Это тщательно подчеркивает необходимость тщательного изучения и соответствующего анализа описаний и логики предложений. Член сообщества Tornado Cash, известный под псевдонимом Tornadosaurus-Hex, подтвердил возможную компрометацию всех фондов управления и призвал участников вывести все заблокированные средства.

Команда Tornado Cash сейчас активно ищет разработчиков Solidity, которые могли бы помочь защитить протокол от дальнейшего повреждения. Они также указали на необходимость диалога с Binance, поскольку биржа имеет больше токенов, чем злоумышленник, и может помочь отменить функции, реализованные с помощью эксплойта.

Недавнее дело Tornado Cash получил поддержку< /span> от крупных групп по политике и защите криптовалют. Ассоциация блокчейна и Образовательный фонд DeFi совместно подали записку amicus curiae в поддержку ходатайства о вынесении частичного упрощенного решения истцу против Министерства финансов США.

В прошлом году Министерство финансов США наложило санкции на Tornado Cash, утверждая, что оно помогало северокорейской хакерской группе Lazarus Group, направляя средства на сумму около 7 миллиардов долларов, полученные в результате различных эксплойтов. Печально известная группа Lazarus известна в криптосфере кражей из известных протоколов DeFi. Это обвинение привело к арест создателя Tornado Cash Алексея Перцева, на обвинения в отмывании денег в августе вызвали общественный резонанс.

В ответ на эти широко распространенные эксплойты санкция была введено Управлением по контролю за иностранными активами Министерства финансов (OFAC) на Tornado Cash, включив адреса, предположительно связанные с микшером, в свой список граждан особых категорий и заблокированных лиц. Следовательно, гражданам США запрещено взаимодействовать с этими адресами под угрозой существенных штрафов и тюремного заключения.

Данные CoinMarketCap показывают значительное снижение активности Tornado Cash после этих событий. , при этом объемы транзакций снижались в среднем на 40% ежечасно в течение последних 24 часов. Сообщаемая потеря примерно 10 000 токенов TORN связана с действиями злоумышленника. Последствия этого эпизода подчеркивают важность тщательной проверки кода и надежного управления сообществом в децентрализованных протоколах.

Отказ от ответственности: эта статья предназначена только для информационных целей. Он не предлагается и не предназначен для использования в качестве юридических, налоговых, инвестиционных, финансовых или других рекомендаций.

Отказ от ответственности