Pochi giorni dopo aver preso il controllo della governance del progetto, l’attaccante di Tornado Cash ha presentato una nuova proposta per rimediare ai danni causati.
Il 18 maggio, il DAO di Tornado Cash ha accidentalmente votato la proposta malevola dopo non averne verificato correttamente il contenuto.
Tornado Cash è un mixer che preserva la privacy sulla rete Ethereum.
L’aggressore è stato quindi in grado di concedersi 1,2 milioni di token TORN, ottenendo il controllo del DAO. Ha poi scambiato 380.000 gettoni TORN appena ottenuti con 372 ETH e li ha fatti passare di nuovo attraverso il protocollo di privacy.
Con la proposta malevola ora in atto, l’aggressore è stato in grado di ritirare tutti i voti di governance bloccati e di prosciugare tutti i token dal contratto di governance.
“In sintesi, l’aggressore ha svuotato i token TRON dal caveau della governance, il che significa che aveva tutto il potere di voto”, ha dichiarato a TCN un portavoce della società di sicurezza PeckShield. “Hanno poi scambiato parte dei TORN rubati con ETH e li hanno depositati nel protocollo Tornado Cash”.
Poco dopo che la proposta è stata rivelata come malevola, è stata presentata un’altra proposta per annullare le modifiche.
“Poiché l’aggressore ha ora la maggioranza del potere di voto, i meccanismi di governance sono essenzialmente privi di significato”, ha dichiarato Magalhães.
L’aggressore ha anche presentato un’altra proposta che prevedeva la restituzione dei token TORN che gli erano stati assegnati. Dopo aver scambiato 380.000 TORN con ETH, l’aggressore detiene ancora 820.000 token TORN, il che significa che ha ancora il controllo totale della DAO.
L’utente Twitter 0xdeadf4ce ha suggerito, tuttavia, che tutto questo potrebbe essere un “gigatroll”, affermando che la nuova proposta di ripristinare le modifiche è semplicemente un mezzo per aumentare il prezzo del token.
L’attaccante di
TornadoCash ha presentato una nuova proposta che, se eseguita, sembra ripristinare i danni arrecati alla funzionalità della governance. O stanno trollando o finirà per essere una lezione costosa ma non disastrosa sulla sicurezza della governance.https://t.co/QMWYFsi8kP
– 0xdeadf4ce (@0xdface) May 21, 2023
Come fanno i DAO a rimanere al sicuro?
Questo ha scatenato un dibattito online sul fatto che le proposte di DAO non vengono verificate adeguatamente, se non in minima parte.
“Questo non è il primo caso di attacco alla governance quest’anno”, ha dichiarato a TCN Nathan van der Heyden, responsabile della crescita di Snapshot. “L’attacco alla governance di Beanstalk è uno dei più grandi hack dell’anno, e questo di Tornado è probabilmente uno di quelli di più alto profilo. “
In questo caso, la proposta è stata ben concepita per non essere descritta e non dare nell’occhio.
Molti, se non tutti, gli elettori avrebbero semplicemente espresso il loro voto senza approfondire il codice del contratto.
“L’audit di tutti i processi critici è certamente una buona misura, ma non la vediamo spesso attuata”, ha dichiarato Magalhães di Immunefi al TCN. “È già difficile vedere verifiche complete su tutti gli aggiornamenti dei proxy degli smart contract”.
Un portavoce di PeckShield ha confermato che l’azienda riceve richieste di revisione delle proposte e che “crede che molti protocolli famosi abbiano le loro proposte sottoposte a revisione”.
PeckShield ha rifiutato di rivelare chi paga per le verifiche di sicurezza delle proposte o quali progetti scelgono di sottoporre a verifica le loro proposte.
Ma cosa deve fare un DAO?
“I DAO dovrebbero incoraggiare la revisione attiva delle proposte e la partecipazione dei titolari. In sostanza, un codice dannoso come questo non dovrebbe passare inosservato a tutti i membri della DAO”, ha detto Magalhães. “Un singolo votante dovrebbe avere una profonda comprensione di ciò per cui sta votando. Le proposte sulla catena, anche se digitali, sono sicuramente reali e hanno conseguenze reali”.
Sebbene questo attacco sia stato astuto, chiunque abbia un occhio attento e abbia esaminato il codice avrebbe dovuto vedere la funzione di autodistruzione. “Una funzione di autodistruzione in un contratto avrebbe dovuto far scattare le sirene di tutte le sedi centrali”, ha detto.
Questo attacco dovrebbe servire da lezione, anche se costosa, per le DAO e i loro membri, per evitare che quest’anno si verifichi un altro attacco alla governance.
“Abbiamo bisogno di quadri di governance onchain generalizzati che permettano a questi exploit di essere momenti di insegnamento per la comunità, che poi adatta i propri quadri a queste nuove conoscenze”, ha detto van der Heyden, “Se non impariamo collettivamente, allora siamo costretti a ripetere errori simili individualmente. “
