Tornado Cash DAO : une proposition malveillante menace 23 M$ de TORN

La DAO de Tornado Cash affronte une menace directe sur sa trésorerie. Un chercheur de L2BEAT a identifié le 25 juin 2026 une proposition de gouvernance malveillante visant les 23 millions de dollars en tokens TORN détenus par l’organisation. L’attaque ne concerne pas les pools de mixage, mais bien la caisse de la DAO elle-même.

Au programme

• Une proposition DAO non vérifiée utilise un contrat opaque pour siphonner 23 M$ de TORN (L2BEAT, 26 juin 2026)
• Le créateur a blanchi son financement via Railgun 4 jours avant le vote
• L’attaque exploite un appel délégué (delegatecall) pour exécuter du code malveillant après approbation

Comment cette proposition malveillante a-t-elle été détectée ?

Le chercheur de L2BEAT, connu sous le pseudonyme sergeyshemyakov, a repéré un signal rare dans l’historique de la gouvernance Tornado Cash. Le contrat cible de la proposition n’était pas vérifié, une anomalie criante pour une organisation qui, même sous sanctions américaines, n’avait jamais soumis de code opaque au vote de la communauté.

Après décompilation, le code s’est avéré délibérément complexe. Son unique fonction exposée est conçue pour recevoir un appel délégué du contrat de gouvernance. Cela signifie que si la proposition passe, le contrat malveillant obtient les pleins pouvoirs pour vider les actifs, imitant une technique similaire à celle qui avait conduit au piratage de la gouvernance en mai 2023. La trésorerie actuelle de la DAO pèse 23 millions de dollars, ce qui en fait une cible de premier plan.

Le créateur de la proposition a financé son adresse via Railgun il y a seulement 4 jours. L’utilisation d’un outil de confidentialité pour masquer l’origine des fonds confirme la préméditation. Les pools de mixage de Tornado Cash eux-mêmes ne sont pas compromis, car ils fonctionnent de manière non-décentralisée et immuable, contrairement à leur couche de gouvernance.

« La proposition cible directement la DAO qui détient toute la trésorerie. Le contrat n’est pas vérifié, ce qui est extrêmement inhabituel pour une proposition Tornado Cash, et doit donc être considéré comme malveillant. » : sergeyshemyakov, chercheur L2BEAT

Pourquoi la gouvernance de Tornado Cash est-elle une cible récurrente ?

Tornado Cash reste un protocole à l’architecture singulière. Si les pools Ethereum sont impossibles à débrancher malgré les sanctions, la trésorerie de la DAO est un actif classique, vulnérable aux votes. En mai 2023, un premier contournement de la gouvernance avait permis à un pirate de prendre le contrôle des votes. Aujourd’hui, la méthode évolue : plutôt que de corrompre le processus, l’attaquant soumet directement le contrat voleur au vote de la communauté.

Le prochain procès pénal de Roman Storm, développeur historique, prévu à l’automne 2026, ajoute une pression extérieure qui complique la défense du protocole. La communauté doit à la fois se défendre d’attaquants et maintenir une existence légale incertaine. La réapparition partielle du code sur GitHub n’a pas résolu la question centrale : la gouvernance décentralisée reste le maillon faible des protocoles sous sanctions.

Le mécanisme malveillant exploite le delegatecall, une fonction standard d’Ethereum qui permet d’exécuter du code externe dans le contexte du contrat appelant. Appliqué à un contrat opaque, cela revient à remettre les clés de la trésorerie à un inconnu.

Que peut faire la communauté face à cette menace ?

Les détenteurs de TORN doivent voter contre la proposition. Le scrutin est public et chaque token compte. L2BEAT a diffusé l’alerte sur X le 26 juin pour mobiliser les électeurs avant la clôture. Une faible participation a déjà coûté cher à d’autres DAO, comme Solana qui a vu des votes techniques passer avec moins de 0,5 % de quorum.

La vigilance de la communauté est la seule barrière, car le contrat de gouvernance, une fois approuvé, n’a pas de mécanisme de veto rétroactif hors fork. La réponse doit être rapide : les votes DAO sur Tornado Cash sont historiquement peu suivis depuis les premières arrestations de développeurs, ce qui rend une proposition hostile potentiellement viable si elle passe inaperçue. L’épisode rappelle que la confidentialité des transactions ne protège pas la gouvernance.

À retenir

La DAO de Tornado Cash subit une tentative de braquage via une proposition de gouvernance non vérifiée. La vigilance du chercheur L2BEAT a révélé l’attaque, mais la vulnérabilité systémique persiste. La thésaurisation de 23 millions de dollars dans une organisation sans existence légale reconnue attire mécaniquement ce type d’opérations. Le résultat du vote dans les prochains jours confirmera si cette alerte suffit à mobiliser la communauté, ou si la trésorerie bascule.