Il 'Tornado Cash aggiornato' Foom.Cash affronta una perdita di quasi 2,3 milioni di dollari a causa di un exploit
- Il protocollo di privacy Foom.Cash ha perso circa 2,26 milioni di dollari dopo che un attaccante ha falsificato prove zkSNARK a causa di una configurazione errata del verificatore.
- L'exploit ha colpito i contratti su Ethereum e Base, drenando 24,28 trilioni di token FOOM, con circa 427K dollari sottratti malevolmente e circa 1,83 milioni di dollari spostati in un intervento di salvataggio da parte di 'white hat'.
- Le società di sicurezza hanno individuato la causa radice in un'impostazione difettosa della verifica Groth16, che ha permesso prelievi ripetuti di token.
Foom.Cash, un protocollo di privacy basato su Ethereum che si è posizionato come un'evoluzione del mixer sanzionato Tornado Cash, avrebbe perso circa 2,26 milioni di dollari in token dopo che un attaccante ha sfruttato una falla nel suo sistema di verifica crittografica, secondo gli avvisi emessi da diverse società di sicurezza blockchain.
L'attacco, che ha colpito i contratti sia su Ethereum che su Base, ha drenato 24.283.773.519.600 token FOOM, l'asset nativo della piattaforma, in quello che i ricercatori di sicurezza hanno descritto come un exploit copia che replica una vulnerabilità quasi identica colpita in un protocollo separato solo pochi giorni prima.
Una singola transazione sulla rete Base ha rappresentato circa 427.000 dollari di perdite attribuite direttamente all'attore malevolo. Le transazioni su Ethereum per un totale di circa 1,83 milioni di dollari sembrano essere state parte di un'operazione di salvataggio white-hat.
Come è avvenuto l'exploit?
La rete di sicurezza Web3 guidata da BinanceLabs, GoPlus Security, ha segnalato l'attacco, riportando che una configurazione errata della chiave di verifica ha permesso all'attaccante di forgiare prove zkSNARK. Questo gli ha permesso di fabbricare credenziali crittografiche che il protocollo ha accettato come valide ed estrarre grandi volumi di token dai contratti compromessi.
La piattaforma di sicurezza blockchain Certik, ha scritto su X, "La causa radice potrebbe essere l'impostazione delta2==gamma2 del verificatore Groth16 a 0xc043865fb4D542E2bc5ed5Ed9A2F0939965671A6. Questo consente all'exploiter di calcolare 'pC' necessario per diversi 'nullifierHash' mentre tutti gli altri input sono gli stessi, e raccogliere ripetutamente token ZOOM."
In breve, un protocollo il cui marketing enfatizzava la quasi impossibilità di invertire le sue protezioni crittografiche è stato sconfitto da una configurazione errata.
Il sistema di monitoraggio Phalcon di BlockSec , che ha rilevato transazioni sospette su entrambe le reti in tempo reale, ha dichiarato che l'incidente sembrava essere un attacco di imitazione. L'azienda ha notato che l'attacco ha sfruttato la stessa causa radice precedentemente identificata nella violazione di Veil Cash, avvenuta pochi giorni prima.
Sebbene valga la pena menzionare che la violazione di Veil Cash è stata più limitata nella scala, con le perdite contenute a un piccolo numero di ETH, presumibilmente 2,9 ETH.
Cos'è Foom.Cash?
Foom.Cash si posiziona come un "Protocollo di Lotteria Privata alimentato da ZKProof" che combina l'anonimato di Zcash, che opera come una catena di privacy indipendente, l'accessibilità dell'ecosistema DeFi di Ethereum e un meccanismo di ricompensa casualizzato integrato.
È pubblicizzato come un aggiornamento per Tornado Cash e un'alternativa a Zcash su Ethereum. Tornado Cash è stato sanzionato dal Tesoro degli Stati Uniti nel 2022, ma il dipartimento ha revocato le sanzioni sulla piattaforma nel marzo 2025.
Secondo la piattaforma, elabora più transazioni giornaliere di Tornado Cash, vanta oltre otto milioni di dollari di liquidità e genera rendimenti annuali dal 50% all'80% per i fornitori di liquidità.
La privacy nel DeFi sta sperimentando un rinnovato interesse, con Zcash che registra un aumento significativo del prezzo negli ultimi mesi, e Foom.Cash ha cercato di capitalizzare su quella tendenza offrendo la privacy nativamente all'interno dell'infrastruttura esistente di Ethereum.
La piattaforma ha utilizzato una variante specifica chiamata zkSNARKs, che è uno degli ingredienti chiave dietro le garanzie di privacy in protocolli ben consolidati come Zcash.
Cosa sta facendo Foom.Cash per recuperare i fondi e risolvere l'exploit?
Finora, l'unico accenno a un recupero è legato alla seconda transazione di circa 1,83 milioni di dollari, che le società di sicurezza riportano essere stata parte di un'operazione di salvataggio white-hat.
Tuttavia, il team di Foom.Cash non ha ancora menzionato o riconosciuto l'hack. Quindi, al momento della scrittura, non ci sono informazioni sull'entità dell'impatto del protocollo o su cosa stia facendo il protocollo per mitigare attacchi futuri.
Il recupero whitehat suggerisce che il team potrebbe lavorare dietro le quinte per recuperare i fondi e risolvere i problemi sottostanti.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
