« Tornado Cash amélioré » Foom.Cash subit une perte de près de 2,3 M$ dans un exploit
- Le protocole de confidentialité Foom.Cash a perdu environ 2,26 M$ après qu'un attaquant ait forgé des preuves zkSNARK en raison d'une mauvaise configuration du vérificateur.
- L'exploit a touché les contrats sur Ethereum et Base, vidant 24,28 billions de tokens FOOM, avec ~427 K$ prélevés malicieusement et ~1,83 M$ déplacés dans le cadre d'une intervention de sauvetage par des acteurs bienveillants.
- Les sociétés de sécurité ont identifié la cause racine comme étant une configuration défectueuse de la vérification Groth16, permettant des retraits répétés de tokens.
Foom.Cash, un protocole de confidentialité basé sur Ethereum qui se positionnait comme une évolution du mélangeur sanctionné Tornado Cash, aurait perdu environ 2,26 millions de dollars en jetons après qu'un attaquant a exploité une faille dans son système de vérification cryptographique, selon les alertes émises par plusieurs firmes de sécurité blockchain.
L'attaque, qui a frappé les contrats sur les réseaux Ethereum et Base, a drainé 24 283 773 519 600 jetons FOOM, l'actif natif de la plateforme, dans ce que les chercheurs en sécurité ont décrit comme un exploit de copie reproduisant une vulnérabilité quasi identique ciblant un protocole séparé seulement quelques jours plus tôt.
Une seule transaction sur le réseau Base a entraîné des pertes d'environ 427 000 $, attribuées directement à l'acteur malveillant. Des transactions sur Ethereum totalisant environ 1,83 million $ semblent avoir fait partie d'une opération de sauvetage menée par des acteurs bienveillants (white-hat).
Comment l'exploitation s'est-elle produite ?
Le réseau de sécurité Web3 dirigé par BinanceLabs, GoPlus Security, a signalé l'attaque, indiquant qu'une configuration incorrecte de la clé de vérification a permis à l'attaquant de forger des preuves zkSNARK. Cela lui a permis de fabriquer des identifiants cryptographiques que le protocole a acceptés comme valides, puis d'extraire de grandes quantités de tokens des contrats compromis.
La plateforme de sécurité blockchain, Certik, a écrit sur X, « La cause racine pourrait être le paramètre delta2==gamma2 du vérificateur Groth16 à l'adresse 0xc043865fb4D542E2bc5ed5Ed9A2F0939965671A6. Cela permet à l'exploiteur de calculer le 'pC' nécessaire pour différents 'nullifierHash' tandis que toutes les autres entrées sont identiques, et de collecter à plusieurs reprises des tokens ZOOM. »
En résumé, un protocole dont le marketing mettait l'accent sur la quasi-impossibilité d'inverser ses protections cryptographiques a été vaincu par une mauvaise configuration.
Le système de surveillance Phalcon de BlockSec , qui a détecté des transactions suspectes sur les deux réseaux en temps réel, a déclaré que l'incident semblait être une attaque d'imitation. L'entreprise a noté que l'attaque exploitait la même cause racine précédemment identifiée dans la violation de Veil Cash, survenue quelques jours plus tôt.
Bien qu'il soit important de mentionner que la violation de Veil Cash était plus limitée en ampleur, les pertes étant contenues à un petit nombre d'ETH, soit 2,9 ETH selon les rapports.
Qu'est-ce que Foom.Cash ?
Foom.Cash se présente comme un « Protocole de Loterie Privée alimenté par ZKProof » qui combine l'anonymat de Zcash, qui fonctionne en tant que chaîne de confidentialité autonome, l'accessibilité de l'écosystème DeFi d'Ethereum et un mécanisme de récompense aléatoire intégré.
Il est présenté comme une mise à niveau de Tornado Cash et une alternative à Zcash sur Ethereum. Tornado Cash a été sanctionné par le Trésor américain en 2022, mais le département a levé ses sanctions à l'égard de la plateforme en mars 2025.
Selon la plateforme, elle traite plus de transactions quotidiennes que Tornado Cash, affiche plus de huit millions de dollars de liquidités et génère des rendements annuels de 50 à 80 % pour les fournisseurs de liquidités.
La confidentialité dans la DeFi connaît un regain d'intérêt, Zcash enregistrant une augmentation significative de son prix ces derniers mois, et Foom.Cash a cherché à capitaliser sur cette tendance en offrant la confidentialité nativement au sein de l'infrastructure existante d'Ethereum.
La plateforme a utilisé une variante spécifique appelée zkSNARKs, qui est l'un des ingrédients clés des garanties de confidentialité dans des protocoles bien établis tels que Zcash.
Que fait Foom.Cash pour récupérer les fonds et résoudre l'exploitation ?
Jusqu'à présent, la seule mention d'une récupération est liée à la deuxième transaction d'environ 1,83 million de dollars, que les sociétés de sécurité rapportent avoir fait partie d'une opération de sauvetage par des acteurs bienveillants.
Cependant, l'équipe de Foom.Cash n'a pas encore mentionné ou reconnu le piratage. Ainsi, au moment de la rédaction, il n'y a aucune information sur l'étendue de l'impact du protocole ou sur ce que le protocole fait pour atténuer les attaques futures.
La récupération par les acteurs bienveillants laisse entendre que l'équipe travaille peut-être dans l'ombre pour récupérer les fonds et résoudre les problèmes sous-jacents.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
