Código malicioso encontrado en la propuesta de gobernanza de Tornado Cash
- Un desarrollador habría insertado JavaScript malicioso en una propuesta de gobernanza de Tornado Cash, exponiendo las notas de depósito de los usuarios desde el 1 de enero.
- La vulnerabilidad afectó específicamente a los usuarios de Tornado Cash a través de portales IPFS, poniendo en riesgo la exposición y el robo de sus fondos.
- El análisis técnico reveló el mecanismo del código explotable, diseñado para reenviar secretamente las notas de depósito al servidor del atacante.
Tornado Cash, un nombre que representaba privacidad, seguridad y controversia en la comunidad cripto, acaba de recibir una revelación preocupante. Un desarrollador, conocido en la comunidad como Butterfly Effects, supuestamente introdujo JavaScript malicioso en una propuesta de gobernanza, sorprendiendo a todos. Desde el comienzo del año, parece que cualquiera que haya utilizado pasarelas IPFS para interactuar con Tornado Cash podría haber tenido sus notas de depósito comprometidas, enviándolas directamente a un servidor bajo el control del supuesto desarrollador.
Para los no iniciados, Tornado Cash sirve como una solución de privacidad no custodial, permitiendo a los usuarios realizar transacciones en la red Ethereum sin dejar rastro. Esta reciente vulnerabilidad gira en torno a un fragmento de código que debía pasar desapercibido. Fue diseñado para capturar las notas de depósito y canalizarlas a un servidor privado, todo bajo el disfraz de una propuesta de gobernanza benigna.
Pero aquí es donde las cosas se ponen interesantes: la vulnerabilidad apuntaba a transacciones realizadas a través de implementaciones IPFS de Tornado Cash. En otras palabras, si interactuaste con Tornado Cash utilizando interfaces locales, respira aliviado: estás a salvo, gracias a la transparencia y auditabilidad de las interacciones directas con el contrato.
La vulnerabilidad en sí es una pieza astuta. Realmente me impresiona el trabajo. Básicamente, codifica las notas de depósito privadas para disfrazarse como datos de llamada, usando furtivamente la función window.fetch para transmitir esta información sensible al servidor del atacante.
La comunidad descubrió el código de la vulnerabilidad a través de plataformas como Cloudflare IPFS y sus enlaces a una dirección Ethereum sospechosa. Sin embargo, hay una luz al final del túnel en forma de pasos de recuperación que los usuarios y la comunidad pueden tomar para salvaguardar sus activos y la integridad de Tornado Cash. Una medida importante implica cambiar a una implementación de ContextHash IPFS recomendada, que podría proteger a los usuarios de más daños. Esta implementación está validada a través de propuestas de gobernanza anteriores.
Como de costumbre, la comunidad se está uniendo, con entidades como ZeroTwoDAO y los desarrolladores de Gas404 abogando por una postura proactiva contra tales vulnerabilidades. Su llamado a la acción es para que los poseedores de TORN ejerzan sus derechos de voto y veten las propuestas que puedan albergar código malicioso.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Aviso de responsabilidad (Disclaimer): La información proporcionada no constituye asesoramiento de inversión. Cryptopolitan.com no asume responsabilidad alguna por las inversiones realizadas basándose en la información contenida en esta página. Recomendamos encarecidamente realizar investigaciones independientes o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Jai Hamid
Jai Hamid ha estado cubriendo criptomonedas, mercados bursátiles, tecnología, la economía global y los eventos geopolíticos que afectan a los mercados durante los últimos 6 años. Ha trabajado con publicaciones centradas en blockchain, incluidas AMB Crypto, Coin Edition y CryptoTale, en análisis de mercado, grandes empresas, regulación y tendencias macroeconómicas. Se graduó en la London School of Journalism y ha compartido tres veces sus conocimientos sobre el mercado de criptomonedas en una de las principales cadenas de televisión de África.
