‘Tornado Cash المطور’ Foom.Cash تواجه خسارة تقارب 2.3 مليون دولار في عملية اختراق

Foom.Cash، وهو بروتوكول خصوصية قائم على شبكة Ethereum وضع نفسه كتطور لمُخلّط Tornado Cash المحظور، reportedly فقد ما يقرب من 2.26 مليون دولار من العملات الرقمية بعد استغلال مهاجم لثغرة في نظام التحقق المشفر الخاص به، وفقًا لتحذيرات أصدرتها عدة شركات أمن بلوكتشين.

الهجوم، الذي ضرب العقود على شبكتي Ethereum وBase، سرق 24,283,773,519,600 عملة FOOM، وهي العملة الأصلية للمنصة، في ما وصفه باحثو الأمن بأنه نسخة طبق الأصل من اختراق سابق استهدف بروتوكولًا منفصلًا قبل أيام قليلة فقط بسبب ثغرة مشابهة للغاية.

تسببت معاملة واحدة على شبكة Base في خسائر تقارب 427,000 دولار، تُعزى مباشرة إلى الفاعل الخبيث. بينما تشير المعاملات على شبكة إيثريوم التي تبلغ حوالي 1.83 مليون دولار إلى أنها كانت جزءًا من عملية إنقاذ قام بها خبراء الأمن (White-hat). 

كيف حدث الاختراق؟

شبكة أمان Web3 بقيادة BinanceLabs، GoPlus Security, رصدت الهجوم وأبلغت عن أن تكوين مفتاح تحقق غير صحيح سمح للمهاجم بتزوير إثباتات zkSNARK. وهذا مكنهم من انتحال هويات مشفرة قبلتها البروتوكولات كصحيحة، ومن ثم استخراج كميات كبيرة من الرموز من العقود المخترقة.

منصة أمن البلوكشين Certik، كتب على X، "قد يكون السبب الجذري هو إعداد delta2==gamma2 لمُتحقق Groth16 عند العنوان 0xc043865fb4D542E2bc5ed5Ed9A2F0939965671A6 بصفر. هذا ما مكّن المستغل من حساب 'pC' المطلوبة لـ 'nullifierHash' مختلفة بينما جميع المدخلات الأخرى متطابقة، مما سمح له بجمع رموز ZOOM بشكل متكرر."

باختصار، تم إسقاط بروتوكول كان التسويق يركز على استحالة عكس حماية التشفير الخاصة به بسبب خطأ في التكوين.

Phalcon من BlockSec نظام المراقبة، الذي اكتشف معاملات مشبوهة عبر الشبكتين في الوقت الفعلي، أفاد بأن الحادث يبدو أنه هجوم تحاكي. وأشارت الشركة إلى أن الهجوم استغل نفس السبب الجذري الذي تم تحديده سابقًا في اختراق Veil Cash، والذي حدث قبل بضعة أيام.

على الرغم من جدر الإشارة إلى أن اختراق Veil Cash كان محدود النطاق، حيث تركزت الخسائر في عدد صغير من عملات ETH، يُبلغ عنها بـ 2.9 ETH.

ما هو Foom.Cash؟

Foom.Cash يُصوّر نفسه على أنه "بروتوكول لوتيري خاص مدعوم بإثباتات ZKProof" يجمع بين خصوصية Zcash، التي تعمل كسلسلة خصوصية مستقلة، وإمكانية الوصول إلى نظام DeFi الخاص بـ Ethereum، وآلية مكافآت عشوائية مدمجة. 

يُوصف بأنه ترقية لـ Tornado Cash وبديل لـ Zcash على شبكة Ethereum. وقد فرضت وزارة الخزانة الأمريكية عقوبات على Tornado Cash في عام 2022، لكن الوزارة رفعت العقوبات عن المنصة في مارس 2025. 

وفقًا للمنصة، فإنها تعالج عددًا أكبر من المعاملات اليومية مقارنة بـ Tornado Cash، وتتمتع بأكثر من ثمانية ملايين دولار من السيولة، وتولد عوائد سنوية تتراوح بين 50% و80% لمقدمي السيولة.

شهدت الخصوصية في التمويل اللامركزي (DeFi) اهتمامًا متجددًا، حيث سجلت Zcash ارتفاعًا ملحوظًا في سعرها خلال الأشهر الأخيرة، وسعت Foom.Cash إلى استغلال هذا الاتجاه من خلال تقديم الخصوصية بشكل أصلي ضمن البنية التحتية الحالية لشبكة إيثريوم.

استخدمت المنصة نوعًا محددًا يُعرف بـ zkSNARKs، وهو أحد المكونات الرئيسية وراء ضمانات الخصوصية في البروتوكولات الراسخة مثل Zcash.

ماذا تفعل Foom.Cash لاستعادة الأموال وحل الثغرة الأمنية؟

حتى الآن، فإن الإشارة الوحيدة إلى عملية الاستعادة مرتبطة بالمعاملة الثانية التي تبلغ حوالي 1.83 مليون دولار، والتي أفادت شركات الأمن بأنها جزء من عملية إنقاذ قام بها مختصون أخلاقيون.

ومع ذلك، لم يذكر فريق Foom.Cash بعد أو يعترف بالاختراق الأمني. لذا، حتى وقت كتابة هذا التقرير، لا توجد معلومات حول مدى تأثير الاختراق على البروتوكول أو ما يفعله البروتوكول للتخفيف من الهجمات المستقبلية. 

تشير مؤشرات الاستعادة التي قام بها المختصون الأخلاقيون إلى أن الفريق قد يعمل خلف الكواليس لاستعادة الأموال وحل المشكلات الأساسية.