Code malveillant trouvé dans la proposition de gouvernance de Tornado Cash
- Un développeur aurait inséré du JavaScript malveillant dans une proposition de gouvernance de Tornado Cash, exposant les notes de dépôt des utilisateurs depuis le 1er janvier.
- L'exploitation a ciblé spécifiquement les utilisateurs de Tornado Cash via des passerelles IPFS, risquant l'exposition et le vol de leurs fonds.
- Une analyse technique a révélé le mécanisme du code d'exploitation, conçu pour transférer secrètement les notes de dépôt vers le serveur de l'attaquant.
Tornado Cash, un nom qui incarnait la confidentialité, la sécurité et la controverse dans la communauté crypto, vient d'être touché par une révélation inquiétante. Un développeur, connu dans la communauté sous le nom de Butterfly Effects, aurait introduit du JavaScript malveillant dans une proposition de gouvernance, prenant tout le monde au dépourvu. Depuis le début de l'année, il semble que toute personne ayant utilisé des passerelles IPFS pour interagir avec Tornado Cash ait pu voir ses notes de dépôt compromises, les envoyant directement vers un serveur contrôlé par le soi-disant développeur.
Pour les non-initiés, Tornado Cash sert de solution de confidentialité non custodiale, permettant aux utilisateurs d'effectuer des transactions sur le réseau Ethereum sans laisser de traces. Cette récente exploitation tourne autour d'un morceau de code qui était censé rester inaperçu. Il était conçu pour saisir les notes de dépôt et les acheminer vers un serveur privé, sous couvert d'une proposition de gouvernance bénigne.
Mais voici où les choses deviennent intéressantes : l'exploitation visait les transactions effectuées via les déploiements IPFS de Tornado Cash. En d'autres termes, si vous avez interagi avec Tornado Cash en utilisant des interfaces locales, respirez un grand coup – vous êtes en sécurité, grâce à la transparence et à l'auditabilité des interactions directes avec le contrat.
L'exploitation elle-même est une œuvre habile. Je suis vraiment impressionné par le travail. Fondamentalement, il encode les notes de dépôt privées pour se faire passer pour des données d'appel, utilisant subrepticement la fonction window.fetch pour transmettre ces informations sensibles au serveur de l'attaquant.
La communauté a découvert le code d'exploitation via des plateformes comme Cloudflare IPFS et ses liens vers une adresse Ethereum suspecte. Cependant, il y a un aspect positif sous forme d'étapes de récupération que les utilisateurs et la communauté peuvent suivre pour protéger leurs actifs et l'intégrité de Tornado Cash. Une mesure importante consiste à passer à un déploiement ContextHash IPFS recommandé, qui pourrait protéger les utilisateurs de tout autre préjudice. Ce déploiement est validé par des propositions de gouvernance antérieures.
Comme d'habitude, la communauté se mobilise, avec des entités comme ZeroTwoDAO et les développeurs de Gas404 plaidant pour une position proactive contre de telles exploitations. Leur appel à l'action est pour les détenteurs de TORN d'exercer leurs droits de vote et de veto sur les propositions qui pourraient contenir du code malveillant.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement : Les informations fournies ne constituent pas des conseils de trading. Cryptopolitan.com décline toute responsabilité quant aux investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener des recherches indépendantes et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Jai Hamid
Jai Hamid couvre les cryptomonnaies, les marchés boursiers, la technologie, l'économie mondiale et les événements géopolitiques qui affectent les marchés depuis 6 ans. Elle a travaillé avec des publications axées sur la blockchain, notamment AMB Crypto, Coin Edition et CryptoTale, sur des analyses de marché, des entreprises majeures, la réglementation et les tendances macroéconomiques. Elle est diplômée de la London School of Journalism et a partagé à trois reprises des analyses du marché des cryptomonnaies sur l'une des principales chaînes de télévision d'Afrique.
