La gouvernance du mélangeur de pièces Tornado Cash baisse sa garde et perd le contrôle
Le service de mélange de pièces Tornado Cash est sous le choc d’une attaque qui a davantage exposé la fragilité de la finance décentralisée (DeFi).
Un attaquant non identifié a récemment pu prendre le contrôle de la gouvernance de l’organisation autonome décentralisée (DAO) de Tornado Cash après avoir incité les utilisateurs à approuver une proposition apparemment bénigne qui contenait en fait un code malveillant.
La gouvernance d’un DAO est réalisée par les utilisateurs qui « verrouillent » les jetons du protocole en échange du droit de voter sur les mises à niveau, les correctifs et les autres modifications proposées. Le code malveillant de l’attaquant Tornado Cash leur a permis d’autoriser 1,2 million de droits de vote supplémentaires, soit environ un demi-million de plus que le total des droits de vote légitimes, permettant à l’attaquant de dicter les modifications de protocole qu’il souhaitait.
Comme on pouvait s’y attendre, l’attaquant a rapidement échangé plus de 400 000 jetons de gouvernance TORN contre environ 430 ETH – Tornado Cash est construit sur la blockchain Ethereum – d’une valeur de plus de 750 000 USD et a exécuté la majeure partie de cet ETH via le service de mixage.
Les mélangeurs de pièces comme Tornado Cash sont populaires auprès des criminels car ils permettent aux utilisateurs de « laver » les jetons en les coupant, en les coupant en dés et en les mélangeant avec d’autres de leur espèce, en les recrachant de l’autre côté avec une provenance moins manifestement illicite.
La valeur de TORN a chuté de près de moitié dimanche alors que la réalité de la situation se faisait jour pour les utilisateurs. Certaines bourses comme Binance ont temporairement gelé les dépôts de TORN, permettant au prix de se stabiliser quelque peu, mais il reste bien en deçà de la valeur qu’il a échangée au maximum cette année.
Le prix peut également avoir établi une sorte de plancher en raison d’une offre surprise de l’attaquant de restaurer la gouvernance à son état antérieur en éliminant les jetons TORN incorrectement frappés. Tout le monde n’est pas convaincu de la sincérité de l’attaquant, certains soupçonnant qu’il pourrait s’agir d’une ruse pour préserver temporairement la valeur de TORN afin de maximiser les rendements des retraits supplémentaires.
Quoi qu’il en soit, les détenteurs légitimes de la gouvernance n’ont fondamentalement pas leur mot à dire en la matière. Ils peuvent soit être d’accord avec la dernière proposition de l’attaquant, soit marteler du sable. Cette farce expose une fois de plus la folie du mantra « le code est la loi » qui est si populaire auprès de nombreux maximalistes « crypto ».
Il convient de mentionner que le plan de l’attaquant n’aurait jamais pu réussir sans le manque impardonnable de diligence raisonnable de la communauté TORN sur la proposition malveillante. On aurait pu supposer qu’avec la valeur de leurs jetons en jeu, ils auraient pris plus de temps pour parcourir le code proposé qu’il n’en faut habituellement pour cliquer sur « d’accord » sur une mise à niveau du logiciel système Apple (NASDAQ : AAPL).
Un vent mauvais qui ne souffle pas bon
Il s’agit du dernier œil au beurre noir pour Tornado Cash, qui a la réputation d’être le premier arrêt pour ceux qui ont obtenu des jetons par des moyens illicites. Bien qu’il puisse y avoir des raisons légitimes de vouloir masquer la piste numérique d’un jeton, le service était très populaire parmi les pirates DeFi, y compris le célèbre groupe Lazarus de Corée du Nord et le programme d’armes nucléaires du pays.
En août dernier, l’Office of Foreign Assets Control (OFAC) du département du Trésor américain a sanctionné Tornado Cash pour ne pas avoir imposé de contrôles adéquats pour prévenir le blanchiment d’argent. L’OFAC a également mis sur liste noire les adresses Ethereum qui ont reçu la sortie de Tornado Cash, une décision qui, selon de nombreux utilisateurs, pourrait entraîner un ciblage malveillant d’adresses non affiliées à une quelconque criminalité.
Le même mois, les autorités néerlandaises ont arrêté le développeur du protocole Tornado Cash, Alexey Pertsev, qui aurait eu des liens avec les services de renseignement russes. Pertsev a obtenu sa libération le mois dernier et attend son procès aux Pays-Bas pour avoir facilité le blanchiment d’argent.
D’autres mélangeurs de pièces ont également été ciblés par les autorités mondiales déterminées à freiner le mépris flagrant des normes financières par la crypto. Les autorités américaines cherchent également à combler les lacunes dans leurs efforts pour imposer des sanctions économiques à la Russie pour son invasion de l’Ukraine.
On ne sait toujours pas comment cette escapade Tornado Cash se terminera ou s’il pourrait y avoir quelques cris de la part des tondus pour obtenir une récompense. La réputation douteuse de Tornado Cash rend peu probable que les autorités déploient des efforts pour identifier son agresseur ou récupérer les biens volés. Et même s’ils le faisaient, le reste de la communauté de gouvernance hardcore du DAO approuverait-il une telle aide ?
Récupération de jeton… bon
Si cette attaque s’était produite sur la blockchain BSV, il y aurait de réelles options pour la récupération des actifs numériques. BSV mène la charge pour apporter les principes mondialement reconnus du droit de la propriété du monde réel au secteur des actifs numériques.
Sur BSV, si un actif numérique est volé ou si l’accès est perdu par accident ou en raison d’habitudes de stockage imprudentes, l’utilisateur concerné peut démontrer publiquement une preuve de propriété. En supposant que la barre de preuve est effacée, l’utilisateur peut obtenir une ordonnance du tribunal ou son équivalent légal et la présenter aux mineurs chargés de maintenir le consensus des transactions sur la blockchain.
Les mineurs gèleraient alors et transféreraient les actifs en question à leurs propriétaires légitimes au bout de la chaîne. D’autres utilisateurs de la blockchain pourraient vérifier l’historique complet de ces transactions et actifs, vérifier qu’ils sont bien la propriété de l’utilisateur d’origine et que les transactions impliquant ces actifs sont valides.
Bien que la récupération de jetons soit possible sur des chaînes de blocs autres que BSV, les perspectives d’adoption restent décidément incertaines. La semaine dernière, Ledger a introduit un programme de récupération de phrase de départ opt-in pour les utilisateurs de son portefeuille matériel Nano X, et la réponse a été, euh… eh bien, si vous avez vu le Frankenstein original, imaginez simplement le PDG de Ledger Pascal Gauthier au sommet du moulin à vent et des crypto-maximalistes alors que les villageois allumaient le joint en feu.
Les personnes plus ouvertes d’esprit qui souhaitent en savoir plus sur la récupération d’actifs numériques et d’autres initiatives BSV à valeur ajoutée devraient consulter la London Blockchain Conference, qui débutera au QE II Center le 31 mai. Lorsque BSV aura réussi à améliorer cet espace, il on dirait qu’une tornade l’a traversé. (Désolé, trop tôt ?)
Blockstream, ShapeShift, Coinbase, Ripple,
Ethereum, FTX et Tether, qui ont coopté la révolution des actifs numériques et transformé l’industrie en un champ de mines pour les acteurs naïfs (et même expérimentés) du marché.
le guide de ressources ultime pour en savoir plus sur Bitcoin – tel qu’envisagé à l’origine par Satoshi Nakamoto – et la blockchain.
