„Aufgewertetes Tornado Cash“ Foom.Cash steht vor fast 2,3 Mio. US-Dollar Verlust durch Exploit
- Das Privacy-Protokoll Foom.Cash verlor etwa 2,26 Mio. USD, nachdem ein Angreifer aufgrund einer Fehlkonfiguration des Verifiers zkSNARK-Beweise gefälscht hatte.
- Der Exploit betraf Verträge auf Ethereum und Base, wobei 24,28 Billionen FOOM-Token abgezogen wurden; ca. 427.000 USD wurden böswillig entwendet und ca. 1,83 Mio. USD in einer White-Hat-Rettungsaktion transferiert.
- Sicherheitsfirmen identifizierten die Ursache in einer fehlerhaften Groth16-Verifizierungskonfiguration, die wiederholte Token-Abhebungen ermöglichte.
Foom.Cash, ein auf Ethereum basierendes Datenschutzprotokoll, das sich als Evolution des sanktionierten Mixers Tornado Cash positionierte, hat reportedly etwa 2,26 Millionen US-Dollar an Token verloren, nachdem ein Angreifer eine Schwachstelle in seinem kryptografischen Verifikationssystem ausgenutzt hat, laut Warnungen, die von mehreren Blockchain-Sicherheitsfirmen herausgegeben wurden.
Der Angriff, der Verträge sowohl im Ethereum- als auch im Base-Netzwerk traf, entleerte 24.283.773.519.600 FOOM-Token, das native Asset der Plattform, in dem, was Sicherheitsforscher als Copycat-Exploit beschrieben, der eine fast identische Schwachstelle repliziert, die in einem separaten Protokoll nur wenige Tage zuvor angegriffen wurde.
Eine einzelne Transaktion im Base-Netzwerk verursachte etwa 427.000 US-Dollar an Verlusten, die direkt dem böswilligen Akteur zugeschrieben werden. Transaktionen auf Ethereum im Wert von rund 1,83 Millionen US-Dollar scheinen Teil einer White-Hat-Rettungsoperation gewesen zu sein.
Wie ist der Exploit passiert?
Von BinanceLabs geführtes Web3-Sicherheitsnetzwerk, GoPlus Security, markierte den Angriff und berichtete, dass eine fehlerhafte Konfiguration des Verifizierungsschlüssels es dem Angreifer ermöglichte, zkSNARK-Beweise zu fälschen. Dies ermöglichte es ihm, kryptografische Anmeldeinformationen zu fabrizieren, die das Protokoll als gültig akzeptierte, und anschließend große Mengen an Token aus den kompromittierten Verträgen zu extrahieren.
Die Blockchain-Sicherheitsplattform Certik, schrieb auf X, „Die Ursache könnte die Einstellung delta2==gamma2 des Groth16-Verifiers unter 0xc043865fb4D542E2bc5ed5Ed9A2F0939965671A6 sein. Dies ermöglicht es dem Ausnutzer, das für verschiedene ‚nullifierHash‘ benötigte ‚pC‘ zu berechnen, während alle anderen Eingaben gleich sind, und wiederholt ZOOM-Token zu sammeln.“
Kurz gesagt, ein Protokoll, dessen Marketing die nahezu unmögliche Umkehrung seiner kryptografischen Schutzmaßnahmen betonte, wurde durch eine Fehlkonfiguration zunichtegemacht.
Blocksecs Phalcon Überwachungssystem, das verdächtige Transaktionen in beiden Netzwerken in Echtzeit erfasste, erklärte, dass der Vorfall einem Nachahmungsangriff ähnelte. Das Unternehmen wies darauf hin, dass der Angriff dieselbe Ursache ausnutzte, die zuvor bei der Veil Cash-Sicherheitslücke identifiziert wurde, die wenige Tage zuvor aufgetreten war.
Obwohl es erwähnenswert ist, dass die Veil Cash-Sicherheitslücke in ihrem Umfang begrenzter war, mit Verlusten, die auf eine kleine Anzahl von ETH beschränkt blieben, reportedly 2,9 ETH.
Was ist Foom.Cash?
Foom.Cash positioniert sich als „ZKProof-basiertes privates Lotterieprotokoll“, das die Anonymität von Zcash, das als eigenständige Privacy-Chain operiert, die Zugänglichkeit des Ethereum-DeFi-Ökosystems und einen integrierten Mechanismus für zufällige Belohnungen kombiniert.
Es wird als Upgrade für Tornado Cash und als Alternative zu Zcash auf Ethereum beworben. Tornado Cash wurde 2022 von der US-amerikanischen Finanzbehörde (Treasury) sanktioniert, doch die Behörde hob die Sanktionen gegen die Plattform im März 2025 auf.
Laut der Plattform verarbeitet sie täglich mehr Transaktionen als Tornado Cash, verfügt über eine Liquidität von über acht Millionen US-Dollar und erzielt jährliche Renditen von 50 bis 80 % für Liquiditätsanbieter.
Privatsphäre im DeFi-Bereich erfährt ein erneutes Interesse, wobei Zcash in den letzten Monaten einen deutlichen Preisanstieg verzeichnete. Foom.Cash versuchte, diesen Trend zu nutzen, indem es Privatsphäre nativ in die bestehende Infrastruktur von Ethereum integrierte.
Die Plattform verwendete eine spezifische Variante namens zkSNARKs, die eine der Schlüsselkomponenten für die Privatsphärengarantien in etablierten Protokollen wie Zcash ist.
Was unternimmt Foom.Cash, um Mittel zurückzugewinnen und die Ausnutzung zu beheben?
Bisher wurde die einzige Erwähnung einer Rückgewinnung mit der zweiten Transaktion in Höhe von etwa 1,83 Millionen US-Dollar in Verbindung gebracht, von der Sicherheitsfirmen berichten, dass sie Teil einer White-Hat-Rettungsoperation war.
Das Foom.Cash-Team hat den Hack jedoch noch nicht erwähnt oder anerkannt. Zum Zeitpunkt der Erstellung dieses Artikels liegen daher keine Informationen über das Ausmaß der Auswirkungen auf das Protokoll oder darüber vor, was das Protokoll unternimmt, um zukünftige Angriffe abzumildern.
Die Hinweise auf die White-Hat-Rückgewinnung deuten darauf hin, dass das Team möglicherweise hinter den Kulissen daran arbeitet, die Mittel zurückzugewinnen und die zugrunde liegenden Probleme zu lösen.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
