Hackers stelen $ 1 miljoen van Tornado-geld en stellen vervolgens voor om de overname van het bestuur te herstellen

Hackers stelen $ 1 miljoen van Tornado-geld en stellen vervolgens voor om de overname van het bestuur te herstellen

Tijdstempel: 24 mei 2023 3:02 uur
Hackers stelen $1 miljoen van Tornado Cash en stellen vervolgens voor om de overname van PlatoBlockchain Data Intelligence op te lossen. Verticaal zoeken. Ai.

In een reeks gebeurtenissen die alleen in crypto kan gebeuren, stelt de hacker die Tornado Cash uitbuitte, een protocol dat privé-cryptocurrency-transacties mogelijk maakt, voor om de aanval te patchen waardoor ze een equivalent van ongeveer $ 1 miljoen aan tokens konden leegmaken.

Op vrijdag stal de hacker daarna meer dan $ 1 miljoen aan activa van het protocol verbergen kwaadaardig code in een bestuursvoorstel dat onopgemerkt bleef door de gemeenschap. Twee dagen later stelde de hacker voor om die aanval te patchen.

De stemming is gepland voor vrijdagavond of zaterdagochtend vroeg, maar er is geen garantie dat het voorstel zal worden uitgevoerd. Gebruikers kunnen nog steeds geld opnemen van het protocol.

Het incident benadrukt de kwetsbaarheid van op tokens gebaseerd bestuur wanneer de gemeenschap van een web3-project er niet in slaagt om nieuw voorgestelde bestuursmaatregelen met een fijne kam te onderzoeken. Het verhaal is zo oud als DAO's, met De DAO, het eerste experiment in gedecentraliseerde organisaties op Ethereum, leed een catastrofale hack van $ 150 miljoen in 2016 toen een hacker onbedoelde kwetsbaarheden in de code van het project uitbuitte.

TORN duikt

De prijs van TORN, het oorspronkelijke token van Tornado Cash, is in 7.5 uur met 24% gedaald na een rally van 10% op zondag, nadat de hacker de oplossing had voorgesteld. TORN blijft echter 32% lager sinds het weekend begon.

De daling komt na een duik van 85% sinds augustus 2022, toen het Amerikaanse ministerie van Financiën de ongekende stap nam van sanctionering zijn code. Het protocol is toegevoegd aan de lijst van Specially Designated Nationals van het bureau, waardoor het voor inwoners van de VS illegaal is om met het protocol om te gaan.

Cryptomixer

Tornado Cash is een op Ethereum gebaseerd protocol dat is ontworpen om gebruikers on-chain privacy te bieden, ook wel een mixer genoemd.

Het protocol verdoezelt de transactiegeschiedenis van een gebruiker door activa via het protocol naar een nieuw adres te sturen. De overdracht wordt uitgevoerd via een gecompliceerd web van kleinere transacties, waardoor het voor blockchain-speurneuzen moeilijk wordt om de beweging van fondsen die met Tornado Cash zijn verzonden, te ontwarren. Gedecentraliseerde liquiditeitsverschaffers verdienen een vergoeding in ruil voor het verstrekken van kapitaal om de transacties te vergemakkelijken.

Aanval mechanica

De aanval bestond erin dat de hacker een voorstel deed aan het bestuur van Tornado Cash, waar ze een extra functie toevoegden waarmee ze zichzelf 1,200,000 stemmen konden toekennen.

Het aantal frauduleuze stemmen was aanzienlijk groter dan de 700,000 legitieme stemmen die werden uitgegeven aan TORN-stakers, waardoor de hacker bestuursvoorstellen naar eigen goeddunken kon uitvoeren en toegang kon krijgen tot de fondsen in het bestuurscontract.

Van daaruit konden ze 100,000 TORN-tokens en 360 ETH opnemen, waarmee ze ongeveer $ 1 miljoen aan gestolen geld opstapelden. Ironisch genoeg, de hacker gebruikt Tornado Cash om de bestemming van 360 ETH te verdoezelen die ze hebben verkregen door gestolen TORN-tokens te verkopen.

Afzonderlijk loopt er nog eens $ 1 miljoen gevaar in Tornado Cash Nova, een Gnosis Chain-gebaseerde inzet van het protocol. Het zou zeven dagen duren om een ​​voorstel uit te voeren dat dat contract leegmaakt, dus gebruikers met geld daar hebben nog tijd om geld op te nemen.

De aanval omkeren

En er is een nog helderder sprankje hoop - op zondag Tornadosaurus-Hex, een lid van de Tornado Cash-gemeenschap, markeerde dat de aanvaller een voorstel lanceerde om hun stemrecht terug te zetten van 1.2 miljoen naar 0. Door deze stap zouden ze afstand doen van hun controle over het beheer van het protocol.

De hacker heeft nog steeds de volledige controle over de stemmen op dit voorstel, dat rond 26 mei zal worden goedgekeurd of afgewezen en heeft momenteel 517 stemmen voor, aldus Twitter-gebruiker, 0xdoodf4ce.

"Of ze zijn giga aan het trollen, of het wordt een dure maar niet desastreuze les in bestuursbeveiliging", zeiden ze.

Tijdstempel:

Meer van De Defiant