‘Tornado Cash mejorado’ Foom.Cash enfrenta una pérdida de casi 2,3 millones de dólares en una explotación
- El protocolo de privacidad Foom.Cash perdió aproximadamente 2,26 millones de dólares después de que un atacante falsificó pruebas zkSNARK debido a una mala configuración del verificador.
- El exploit afectó a contratos en Ethereum y Base, drenando 24,28 billones de tokens FOOM, con ~427K dólares tomados maliciosamente y ~1,83 millones de dólares movidos en un rescate de 'cascos blancos'.
- Las firmas de seguridad rastrearon la causa raíz a una configuración defectuosa de verificación Groth16, lo que permitió retiros repetidos de tokens.
Foom.Cash, un protocolo de privacidad basado en Ethereum que se posicionó como una evolución del mezclador sancionado Tornado Cash, reportedly perdió aproximadamente 2,26 millones de dólares en tokens después de que un atacante explotara una falla en su sistema de verificación criptográfica, según alertas emitidas por varias firmas de seguridad de blockchain.
El ataque, que afectó a contratos en las redes Ethereum y Base, drenó 24.283.773.519.600 tokens FOOM, el activo nativo de la plataforma, en lo que los investigadores de seguridad han descrito como una explotación clon que replica una vulnerabilidad casi idéntica atacada en un protocolo separado apenas unos días antes.
Una sola transacción en la red Base representó aproximadamente 427.000 dólares en pérdidas atribuidas directamente al actor malicioso. Las transacciones en Ethereum por un total de alrededor de 1,83 millones de dólares parecen haber sido parte de una operación de rescate de sombrero blanco.
¿Cómo ocurrió el exploit?
Red de seguridad Web3 liderada por BinanceLabs, GoPlus Security, señaló el ataque, informando que una configuración incorrecta de la clave de verificación permitió al atacante forjar pruebas zkSNARK. Esto les permitió fabricar credenciales criptográficas que el protocolo aceptó como válidas y luego extraer grandes volúmenes de tokens de los contratos comprometidos.
Plataforma de seguridad de blockchain, Certik, escribió en X, “La causa raíz podría ser la configuración delta2==gamma2 del verificador Groth16 en 0xc043865fb4D542E2bc5ed5Ed9A2F0939965671A6. Esto permite al explotador calcular ‘pC’ necesario para diferentes ‘nullifierHash’ mientras todas las demás entradas son iguales, y recolectar repetidamente tokens ZOOM.”
En resumen, un protocolo cuyo marketing enfatizaba la casi imposibilidad de revertir sus protecciones criptográficas fue derrotado por una mala configuración.
Phalcon de BlockSec sistema de monitoreo, que detectó transacciones sospechosas en ambas redes en tiempo real, declaró que el incidente parecía ser un ataque de imitación. La firma señaló que el ataque explotó la misma causa raíz identificada previamente en la brecha de Veil Cash, que ocurrió unos días antes.
Aunque vale la pena mencionar que la brecha de Veil Cash fue más limitada en escala, con las pérdidas contenidas a un pequeño número de ETH, supuestamente 2,9 ETH.
¿Qué es Foom.Cash?
Foom.Cash se posiciona como un “Protocolo de Lotería Privada impulsado por ZKProof” que combina la anonimidad de Zcash, que opera como una cadena de privacidad independiente, la accesibilidad del ecosistema DeFi de Ethereum y un mecanismo de recompensas aleatorias integrado.
Se presenta como una actualización de Tornado Cash y una alternativa a Zcash en Ethereum. Tornado Cash fue sancionado por el Tesoro de EE. UU. en 2022, pero el departamento levantó sus sanciones sobre la plataforma en marzo de 2025.
Según la plataforma, procesa más transacciones diarias que Tornado Cash, cuenta con más de ocho millones de dólares en liquidez y genera rendimientos anuales del 50 al 80 % para los proveedores de liquidez.
La privacidad en DeFi ha experimentado un renovado interés, con Zcash registrando un aumento significativo de precio en los últimos meses, y Foom.Cash buscó capitalizar esa tendencia ofreciendo privacidad de forma nativa dentro de la infraestructura existente de Ethereum.
La plataforma utilizó una variante específica llamada zkSNARKs, que es uno de los ingredientes clave detrás de las garantías de privacidad en protocolos bien establecidos como Zcash.
¿Qué está haciendo Foom.Cash para recuperar los fondos y resolver la explotación?
Hasta ahora, la única mención de una recuperación está vinculada a la segunda transacción de aproximadamente 1,83 millones de dólares, que las firmas de seguridad informan que formaba parte de una operación de rescate de sombrero blanco.
Sin embargo, el equipo de Foom.Cash aún no ha mencionado ni reconocido el hackeo. Por lo tanto, hasta el momento de la redacción, no hay información sobre la extensión del impacto del protocolo o lo que está haciendo el protocolo para mitigar futuros ataques.
La recuperación por parte del sombrero blanco sugiere que el equipo puede estar trabajando en secreto para recuperar los fondos y resolver los problemas subyacentes.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
