El token de Power pierde 1,58 millones de dólares en un exploit de gobernanza a través del DAO de Aragon

El protocolo Token of Power fue explotado para aproximadamente 1,58 millones de dólares en WETH mediante un asalto de gobernanza, según la firma de inteligencia blockchain TRM Labs. El atacante aprovechó una debilidad en la configuración del Aragon DAO del protocolo: la ausencia de un timelock que permitía proponer, votar y ejecutar una acción maliciosa de gobernanza en un solo bloque. El exploit pone de relieve cómo los parámetros de diseño de la gobernanza pueden convertirse en vulnerabilidades de seguridad directas en protocolos DeFi cuando el poder de voto puede adquirirse y ejecutarse rápidamente sin mecanismos de bloqueo.

Attacker Exploited Aragon DAO Governance Without Timelock

Según el análisis de TRM Labs, el atacante financió la operación con 662 ETH retirados de Tornado Cash. El atacante compró luego suficientes tokens TOP para obtener el poder de voto mayoritario en el sistema de gobernanza del protocolo. Con el control de la votación asegurado, el atacante acuñó 10 mil millones de nuevos tokens TOP y los intercambió por WETH a través de un pool de Balancer. Los fondos robados se redirigieron posteriormente a través de Tornado Cash.

El ataque tuvo éxito porque la gobernanza de Token of Power en su Aragon DAO carecía de un mecanismo de timelock. Esta ausencia permitió al atacante proponer, votar y ejecutar la acción maliciosa de gobernanza dentro de un solo bloque, sin dejar margen para que los defensores del protocolo o los usuarios intervinieran.

Tornado Cash Used for Funding and Routing, Not Itself Compromised

El informe de TRM Labs aclara que Tornado Cash se utilizó como herramienta para financiar el ataque y redirigir los activos robados. Tornado Cash en sí no fue hackeado ni explotado en este incidente. El mezclador fue usado por el atacante para ocultar el origen de los iniciales 662 ETH y para lavar el WETH robado después de que se ejecutó el exploit de gobernanza.

Governance Design Flaws Create Security Vulnerabilities

Los timelocks son mecanismos de gobernanza diseñados para introducir retrasos obligatorios entre la aprobación de una propuesta y su ejecución. Estos retrasos dan tiempo a los usuarios del protocolo, desarrolladores y equipos de seguridad para detectar y responder a propuestas maliciosas antes de que se vuelvan irreversibles.

Sin un timelock, un actor hostil que adquiere poder de voto suficiente puede ejecutar inmediatamente cambios de gobernanza que drenan fondos del tesoro, acuñan tokens o alteran parámetros del protocolo. El exploit de Token of Power demuestra cómo las configuraciones de gobernanza pueden funcionar como superficies de ataque cuando faltan salvaguardas adecuadas.

El informe de seguridad on-chain de TRM Labs proporciona los detalles técnicos del exploit. El informe está disponible a través de los recursos oficiales de TRM Labs.

FAQ

What happened in the Token of Power exploit?

El protocolo Token of Power fue explotado por aproximadamente 1,58 millones de dólares en WETH mediante un asalto de gobernanza. El atacante aprovechó la ausencia de un timelock en la configuración del Aragon DAO del protocolo, lo que le permitió proponer, votar y ejecutar una acción maliciosa en un solo bloque después de adquirir el poder de voto mayoritario con tokens TOP comprados.

How did the attacker fund and execute the Token of Power governance exploit?

El atacante retiró 662 ETH de Tornado Cash, compró suficientes tokens TOP para controlar la votación de gobernanza, acuñó 10 mil millones de nuevos tokens TOP, los intercambió por WETH mediante un pool de Balancer y redirigió los fondos robados de vuelta a través de Tornado Cash. TRM Labs aclara que Tornado Cash se usó como herramienta para financiar y blanquear, pero que no fue comprometido por sí mismo.

Why do timelocks matter in DeFi governance?

Los timelocks introducen retrasos obligatorios entre la aprobación de una propuesta de gobernanza y su ejecución, dando tiempo a los usuarios y equipos de seguridad para detectar y responder a propuestas maliciosas. Sin timelocks, los atacantes que adquieren poder de voto pueden ejecutar de inmediato cambios que drenan fondos o alteran parámetros del protocolo antes de que nadie pueda intervenir, como se demostró en el exploit de Token of Power.