Angreifer kapert die Tornado Cash-Governance durch einen böswilligen Vorschlag

Die vollständige Kontrolle über die Governance von Tornado Cash ermöglicht es dem Angreifer, alle gesperrten Stimmen zu entziehen, alle Token im Governance-Vertrag zu entziehen und den Router zu blockieren.

Zusätzlich zu den bestehenden Hindernissen des dezentralen Krypto-Mixers Tornado Cash gelang es einem Angreifer, durch einen böswilligen Vorschlag die vollständige Kontrolle über die Governance zu erlangen.

Am 20. Mai um 3:25 ET vergab ein Angreifer erfolgreich 1,2 Millionen Stimmen an einen böswilligen Vorschlag. Da der Vorschlag mehr als 700.000 legitime Stimmen erhielt, erlangte der Angreifer die vollständige Kontrolle über die Governance von Tornado Cash.

Am 20.05.2023 um 07:25:11 UTC hörte die Tornado Cash-Governance praktisch auf zu existieren. Durch einen böswilligen Vorschlag sicherte sich ein Angreifer 1.200.000 Stimmen. Da dies mehr als die rund 700.000 legitimen Stimmen sind, haben sie nun die volle Kontrolle.https://t.co/nY87XmrYgT pic.twitter.com/h9qjc3xRqz

Wie von @samczsun erklärt:

„Sobald der Vorschlag von den Wählern angenommen wurde, nutzte der Angreifer einfach die EmergencyStop-Funktion, um die Vorschlagslogik zu aktualisieren und sich selbst die gefälschten Stimmen zu gewähren.“

Wie oben gezeigt, versuchten sie auch, einen Vertrag umzusetzen, der die Änderungen möglicherweise rückgängig machen könnte, während er der Community dennoch vorschlug, ihre Gelder abzuheben. Cointelegraph stieß außerdem auf einen Notruf eines Community-Entwicklers von Tornado Cash, der die oben genannten Entwicklungen bestätigte und erklärte:

Verwandt: Allbridge setzt Kopfgeld auf den Ausbeuter aus, der bei einem Flash-Darlehensangriff 573.000 US-Dollar gestohlen hat

Berichten zufolge arbeitet ein ehemaliger Entwickler von Tornado Cash daran, einen neuen Krypto-Mischdienst von Grund auf aufzubauen, der den „kritischen Fehler“ von Tornado Cash behebt.

1/ Wir haben @tornadocash behoben. 😇v0 von https://t.co/Nt4b2Tgx1D ist live auf @optimismFND. Testen Sie die Demo, aber bitte beachten Sie: – Dies ist experimenteller Code – er wurde nicht geprüft – das vertrauenswürdige Setup ist nicht vertrauenswürdig – lesen Sie den vollständigen Text Geschichte anon 🧵👇https://t.co/9nAU3RrgpN

Reaktion hinzufügen

Reaktion hinzufügen