토네이도 캐시 거버넌스 공격

1.공격 방식#

공격자는 이전에 통과된 제안과 같은 논리라며 새 제안을 올렸다. 겉으로는 릴레이어가 맡겨야 할 TORN 담보를 늘리고 벌칙을 피하려는 릴레이어를 제재한다는 내용이었다. 디크립트에 따르면 다오는 제안 코드를 제대로 검토하지 않은 채 5월 18일 이를 통과시켰다.

제안 계약에는 자기 파괴 기능이 숨어 있었다. 통과 뒤 공격자는 계약을 없애고 같은 주소에 악성 코드를 다시 배포했다. 실행된 코드는 공격자가 통제하는 주소마다 1만 표씩 모두 120만 표를 줬다. 패러다임의 보안 연구자 샘선은 2023년 5월 20일 07시 25분(UTC)을 기점으로 "토네이도 캐시 거버넌스는 사실상 존재하지 않게 됐다"고 알렸다. 정상 표는 약 70만 표뿐이었다.

2.피해#

다수 표를 쥔 공격자는 잠긴 투표권을 모두 빼내고 거버넌스 계약의 토큰을 비우고 라우터를 망가뜨릴 수 있는 상태가 됐다. 커뮤니티 개발자들은 거버넌스에 맡긴 자금을 모두 빼라고 호소했다. 공격자는 받아 낸 토큰 일부를 ETH로 바꿔 토네이도 캐시에 넣었다. 디크립트는 38만 TORN을 372 ETH로 바꿨다고 전했고, 포천은 5월 26일까지 약 47만 TORN이 팔렸고 572 ETH가 세탁을 위해 입금됐다는 서틱 공동창업자의 분석을 실었다.

이 공격은 믹서 스마트 계약 자체의 결함이 아니었다. 투표자들이 제안 설명을 믿고 코드를 확인하지 않은 거버넌스 절차의 허점이었다.

3.통제권 반환#

공격자는 장악 이틀 뒤 자신이 만든 가짜 투표권을 없애고 변경 사항을 되돌리는 새 제안을 올렸다. 일부는 이 제안 자체가 시장을 노린 장난일 수 있다고 의심했다. 이 제안은 5월 26일 압도적 찬성으로 통과됐다. 포천은 공격자가 통제한 한 주 동안 100만 달러 이상이 거버넌스에서 빠져나갔고, 훔친 토큰이 돌아올지는 불분명하다고 전했다.

토네이도 캐시는 2022년 8월 미국 재무부 제재 대상이 된 상태였다. 사건 뒤 업계에서는 빈스토크 거버넌스 공격과 함께 다오 제안도 외부 감사를 거쳐야 한다는 주장이 다시 나왔다. 서틱 공동창업자는 감사가 필요하지만 투표를 늦추고 비용이 든다는 한계도 지적했다.

4.연표2건

1. 2023.05사건5월20일 악성 제안으로 120만 가짜 표 생성, 다오 장악
2. 2023.05이정표5월26일 공격자 제안으로 거버넌스 통제권 반환 의결