A DAO do famoso mixer de criptomoedas Tornado Cash sofreu um grave ataque no sábado (20), que concedeu aos invasores o controle total sobre a governança do projeto.
O ataque foi possível porque hackers conseguiram que uma proposta, que escondia um código malicioso, fosse aprovada pela comunidade. Com a atualização no ar, os invasores obtiveram 1,2 milhão de votos extras da DAO, garantindo assim o domínio absoluto sobre a organização autônoma descentralizada (DAO) por trás do Tornado Cash.
Assim que assumiram o controle, os invasores não identificados começaram a criar novas unidades do token nativo do projeto TORN, bem como drenar fundos do tesouro da DAO.
Eles sacaram imediatamente 10.000 TORN que foram logo vendidos por R$ 128 mil, apontou o pesquisador @samczsun. Em seguida, retiraram do cofre da DAO uma quantia ainda maior de 483.000 TORN, que já foi em partes liquidada no mercado.
A estimativa do analista EmberCN, compartilhada por Wu Blockchain, aponta que os invasores depositaram 6.000 TORN na exchange Bitrue; 379.000 foram vendidos on-chain e trocados por 375 ETH (cerca de R$ 3,3 milhões) e pouco menos de 100.000 TORN permanecem sob o controle dos invasores.
Em frente aos acontecimentos, o preço do TORN caiu de US$ 6,72 para um mínima no dia de US$ 3,55, segundo o CoinGecko. Atualmente, o ativo se recupera para ser negociado a US$ 4,58, mas ainda acumula perdas de 32% nas últimas 24 horas.
Exchanges se apressaram para impedir que os tokens roubados fossem liquidados em suas plataformas. A Binance, por exemplo, suspendeu temporariamente os depósitos de TORN.
Como o ataque aconteceu
O popular pesquisador de segurança blockchain Samczsun, deu mais detalhes no Twitter sobre como foi o ataque ao Tornado Cash:
Leia Também
“Às 07h25 UTC do sábado, a governança do Tornado Cash efetivamente deixou de existir. Por meio de uma proposta maliciosa, um invasor concedeu a si mesmo 1.200.000 votos. Como isso é mais do que os 700.000 votos legítimos, eles agora têm controle total.”
Samczsun explica que quando o invasor criou a proposta maliciosa para a DAO do Tornado Cash, alegou ter usado a mesma lógica de uma proposta anterior que havia sido aprovada. No entanto, isso não era verdade, já que na proposta nova havia uma função extra escondida que, uma vez aprovada, abriria brecha para o ataque — e foi isso que aconteceu.
Assim que a proposta foi aprovada pela comunidade, o invasor usou a função “EmergencyStop” para atualizar a lógica da proposta e conceder a si mesmo os votos extras.
“Agora que têm todos os votos, eles podem fazer o que quiserem”, disse Samczsun. “Por meio do controle de governança, o invasor pode retirar todos os votos bloqueados; drenar todos os tokens no contrato de governança; bloquear o roteador. No entanto, o invasor ainda não pode drenar pools individuais”, acrescentou Samczsun.
O Tornado Cash é um serviço de mixing de criptomoedas baseado na rede Ethereum, que permite aos usuários “apagarem” o rastro de suas transações na blockchain. Por isso, é usado com frequência por agentes maliciosos que tentam esconder criptos obtidas de forma ilícita, por ataques ou golpes.
Em agosto de 2022, o Tornado Cash foi adicionado à “lista negra” do Tesouro dos EUA, o que significa que cidadãos e empresas americanas estão proibidos de utilizar o serviço sancionado pelo governo.
- Não perca dinheiro. No Mercado Bitcoin, você pode fazer staking de Ethereum de maneira segura e simples. Abra sua conta agora e comece a ganhar recompensas sobre seus investimentos em criptomoedas
