Tornado Cash Lại Bị Tấn Công Quản Trị: Một Đề Xuất Giả Nhắm Vào Kho Bạc Cộng Đồng 23 Triệu USD
Vào ngày 25 tháng 6 năm 2026, một đề xuất quản trị (số 67) đáng ngờ đã xuất hiện trên DAO Tornado Cash. Đề xuất này, có vẻ chính thức với tiêu đề về cơ cấu phí và đốt token, thực chất là một cuộc tấn công lừa đảo.
Nhà nghiên cứu Sergey Shemyakov (L2BEAT) và Pascal Caversaccio (Security Alliance) đã phát hiện mã hợp đồng của đề xuất chưa được xác minh. Sau khi phân tích, họ phát hiện mã độc chứa một hàm "governance" trả về địa chỉ ví của kẻ tấn công, với mục đích thay thế địa chỉ quản trị hợp lệ của giao thức.
Địa chỉ tấn công (0x5efda50f22d34f272c7077689d6abc42f15e285f) được ngụy trang rất giống với địa chỉ thật (0x5efda50f22d34F262c29268506C5Fa42cB56A1Ce). Nếu đề xuất được thông qua, kẻ tấn công có thể chiếm quyền kiểm soát, rút khoảng 23 triệu USD TORN từ kho bạc cộng đồng và làm tê liệt giao thức.
Địa chỉ tạo đề xuất nhận tiền từ Railgun, một giao thức riêng tư khác, khiến việc truy vết trở nên khó khăn. Hiện tại, đề xuất nhận 0 phiếu thuận và 27,163 phiếu chống (100%), và khó có khả năng đạt số phiếu tối thiểu để thông qua.
Đây là lần thứ hai Tornado Cash bị tấn công quản trị kiểu này, cho thấy lỗ hổng cấu trúc chưa được khắc phục. Sự việc cảnh báo về rủi ro phổ biến trong DAO, nơi quyền lực dựa trên token có thể bị thao túng. Đối với người dùng, khuyến nghị là theo dõi cảnh báo từ các nhà nghiên cứu bảo mật, từ chối các đề xuất hợp đồng chưa xác minh và ủy quyền biểu quyết. Đối với nhà phát triển, việc tích hợp "timelock" (khóa thời gian) là biện pháp phòng thủ quan trọng.
Foresight News06/26 06:03
