Новая атака на управление Tornado Cash: фальшивое предложение нацелено на 23 миллиона долларов в казне сообщества
25 июня 2026 года в DAO Tornado Cash был размещён поддельный управленческий предложение №67 под названием «Установление стандарта комиссии 0,5% и схемы динамического сжигания 90%». Несмотря на профессионально составленный текст и запрос на компенсацию газа, код контракта предложения не был верифицирован в блокчейн-обозревателе.
Исследователи безопасности, в частности Pascal Caversaccio, проанализировали байт-код и обнаружили злонамеренную логику: выполнение предложения незаметно заменило бы адрес управления протоколом на контролируемый атакующим кошелёк. Адреса были очень похожи, что затрудняло визуальное обнаружение подмены. В случае успеха злоумышленник мог бы похитить около 23 миллионов долларов в токенах TORN из казны сообщества и парализовать работу протокола.
Создатель предложения получил финансирование через конкурирующий протокол приватности Railgun, что скрыло источник средств. На момент обнаружения голоса против предложения составляли 100% (27 163 TORN), но кворум в 100 000 TORN достигнут не был. Это уже вторая подобная атака на Tornado Cash после инцидента в мае 2023 года.
Данный случай иллюстрирует сохраняющиеся уязвимости в DAO. Для защиты пользователям рекомендуется следить за предупреждениями исследователей, голосовать против предложений с непроверенным кодом и делегировать свои голоса. Разработчикам следует внедрять временные задержки (timelock) между одобрением и выполнением предложений для обеспечения окна проверки безопасности.
Foresight News06/26 06:02
