اكتشاف كود خبيث في مقترح حوكمة تورنادو كاش

Tornado Cash، الاسم الذي وقف للخصوصية والأمان والجدل في مجتمع العملات المشفرة، تعرض للتو لكشف مثير للقلق. مطور، معروف في المجتمع باسم Butterfly Effects، زعم أنه أدمج JavaScript ضاراً في اقتراح حوكمة، مما فاجأ الجميع. منذ بداية العام، يبدو أن أي شخص استخدم بوابات IPFS للتفاعل مع Tornado Cash قد تعرضت ملاحظات الإيداع الخاصة به للاختراق، مما أرسلها مباشرة إلى خادم تحت سيطرة المطور المفترض.

لغير المطلعين، يعمل Tornado Cash كحل خصوصية غير احتياطي، يسمح للمستخدمين بإجراء معاملات على شبكة Ethereum دون ترك أثر. يدور هذا الاستغلال الأخير حول قطعة من الكود كان من المفترض أن تبقى غير ملحوظة. تم تصميمها لالتقاط ملاحظات الإيداع وتوجيهها إلى خادم خاص، كل ذلك تحت غطاء اقتراح حوكمة بريء.

ولكن هنا حيث تصبح الأمور مثيرة للاهتمام: استهدف الاستغلال المعاملات التي تمت عبر نشرات IPFS الخاصة بـ Tornado Cash. بعبارة أخرى، إذا تفاعلت مع Tornado Cash باستخدام واجهات محلية، تنفس الصعداء ارتياحاً - فأنت في أمان، بفضل شفافية وقابلية تدقيق التفاعلات المباشرة مع العقود.

الاستغلال نفسه هو عمل متقن ومراوغ. أنا في الواقع معجب بالعمل. بشكل أساسي، يقوم بتشفير ملاحظات الإيداع الخاصة لتتخفى كبيانات استدعاء، مستخدماً دالة window.fetch بشكل خفي لنقل هذه المعلومات الحساسة إلى خادم المهاجم.

اكتشف المجتمع كود الاستغلال من خلال منصات مثل Cloudflare IPFS وروابطها بعنوان Ethereum مريب. ومع ذلك، هناك جانب إيجابي يتمثل في خطوات التعافي التي يمكن للمستخدمين والمجتمع اتخاذها لحماية أصولهم وسلامة Tornado Cash. تتضمن إحدى الإجراءات المهمة التبديل إلى نشر IPFS ContextHash الموصى به، والذي يمكن أن يحمي المستخدمين من المزيد من الأذى. هذا النشر معتمد من خلال مقترحات حوكمة سابقة.

وكالمعتاد، يتحد المجتمع، حيث تدعو كيانات مثل ZeroTwoDAO ومطوري Gas404 إلى اتخاذ موقف استباقي ضد مثل هذه الاستغلالات. دعوتهم للعمل هي أن حاملو رموز TORN يمارسون حقوقهم في التصويت ويرفضوا المقترحات التي قد تحتوي على كود خبيث.