Tronado Cash ha sido hackeado de forma que la administración perdió completamente el control sobre del sitio y sus servicios. El atacante logró que Tornado Cash DAO aprobase una propuesta maliciosa que le dio el control sobre el gobierno del protocolo.
Durante el fin de semana, el protocolo «mixer» Tornado Cash ha sufrido uno de los peores episodios desde su lanzamiento. Tornado Cash es el servicio de mezcla de criptomonedas que opera en Ethereum y muchos lo utilizan como una pasarela para «blanquear activos», por este motivo fue sancionado por el Tesoro de los EE. UU y su utilización ha sido prohibida.
El sistema de gobierno controla las actualizaciones del protocolo y es ejecutado por los usuarios que poseen el token nativo del protocolo, el TORN. Este sistema de gobierno ha sido el responsable del problema que ha sufrido el protocolo durante este pasado fin de semana.
El día 20 de mayor, Tornado Cash lanzó una actualización que, supuestamente, era exactamente igual a la última actualización, la cual ya había sido aprobada. Al tratarse de una actualización igual a la anterior, los poseedores del token TORN votaron para implementarla sin una revisión exhaustiva, lo que condenaría al protocolo. En los archivos de la actualización se había escondido una función adicional, la cual alteraba y violaba los principios establecidos por el protocolo en cuanto a su sistema de gobierno.
Tras implementarse la nueva actualización, el agente malicioso que introdujo esta nueva parte de código lo ejecutó, otorgándose 1,2 millones de votos a su favor. Según explica en Twitter el investigador Samczsun, esto le dio el control total y efectivo sobre todo el sistema de gobierno.
Con el control sobre el sistema de gobierno, el hacker podía hacer básicamente lo que quisiera, pero dentro de todas las posibilidades las más dramáticas son las siguientes:
- Retirar todos los votos bloqueados.
- Drenar todos los tokens en el contrato de gobierno.
- Bloquear el enrutador.
Como era de esperar, el atacante no tardó en utilizar el control sobre Tornado Cash para lucrarse vendiendo el token TORN. En las primeras horas, se retiraron 10.000 votos en forma de TORN y fueron vendidos por 25.600 dólares, Según el analista de cadena EmberCN, se han retirado en total 483.000 TORN de las bóvedas del protocolo. De esta cantidad, 6000 TORN se depositaron en la casa de intercambio Bitrue y 379 000 se vendieron en la cadena Ethereum por 680.000 dólares en ETH. Los 100.000 TORN restantes siguen bajo el control del atacante actualmente.
La única acción que el hacker no puede realizar ahora mismo es la de drenar los fondos que se mantienen dentro del protocolo, como el ETH u otros activos que se utilizan para mezclarse con otros activos.
Tras conocerse esta situación, las principales casas de intercambio han tomado medidas para evitar recibir fondos sustraídos de Tornad Cash. Binance rápidamente paralizó tanto los depósitos y retiros de TORN. Por otro lado, otros agentes de la industria decidieron no tomar medidas ante esta situación, Justin Sun afirmó que las operaciones con TORN permanecerían activas en Huobi.
TORN se desploma y se recupera tras los últimos movimeintos del atacante
Los sucesos ocurridos durante el fin de semana hicieron que el valor de TORN fuese extremadamente volátil debido a la situación del protocolo. Tras conocerse lo sucedido, el valor de TORN se desplomó desde los 7,2 dólares hasta tocar fondo en los 3,75 dólares en cuestión de horas.
Tras esta caída, el volumen del activo se disparó debido al miedo de la comunidad por perder todo su capital invertido. Esta situación tuvo su contraparte en aquellos que vieron toda una oportunidad de hacer negocio comprando tras la caída. La confusa ha hecho que el valor del activo fluctúe en un rango entre los 4,3 y los 4,7 dólares durante el fin de semana.
En las últimas horas, el valor de TORN se ha recuperado levemente, cerca de un 10%, debido a una nueva propuesta realizada por el atacante. La dirección de la billetera vinculada al ataque publicó una propuesta que busca revertir los cambios realizados en el protocolo.
Esta propuesta se habría realizado directamente a través del sistema de gobierno de Tornado Cash y revertiría los tokens TORN que se dio a sí mismos el hacker. Por otro lado, la propuesta también actualizaría el código del protocolo, eliminando la parte maliciosa añadida en la última actualización. Esto devolvería la gobernanza del DAO a los poseedores del token, ya que los activos del hacker se habrían eliminado.
Debido a que hasta que se apruebe la propuesta, el hacker cuenta con la mayoría absoluta, se espera que utilice su poder para revertir la situación. La votación se cerrará el próximo 26 de mayo, quitando toda incógnita sobre la situación.
Las acciones del atacante como tal no afectan directamente al uso como mezclador de Tornado Cash. El atacante no tiene forma de acceder a los activos que depositan los usuarios, ya que este no puede utilizar ningún contrato inteligente o tecnología relacionada con el funcionamiento de Tornado Cash. Esto ha hecho que muchos usuarios sigan utilizando las funciones del protocolo, a sabiendas de que sus comisiones llegarán a manos del hacker.
Seguir leyendo acerca de como Pepe se coló en el Bitcoin Miami 2023, puede parecerte interesante.
