- Un sviluppatore avrebbe inserito codice JavaScript dannoso in una proposta di governance di Tornado Cash, esponendo le note di deposito degli utenti dall'1 gennaio.
- L'exploit ha preso di mira specificamente gli utenti di Tornado Cash tramite gateway IPFS, rischiando l'esposizione e il furto dei loro fondi.
- L'analisi tecnica ha rivelato il meccanismo del codice exploit, progettato per inoltrare segretamente le note di deposito al server dell'attaccante.
Tornado Cash, un nome che simboleggiava privacy, sicurezza e controversia nella community crypto, è appena stato colpito da una rivelazione preoccupante. Uno sviluppatore, noto nella community come Butterfly Effects, avrebbe introdotto di nascosto JavaScript dannoso in una proposta di governance, cogliendo tutti di sorpresa. Dall'inizio dell'anno, sembra che chiunque abbia utilizzato gateway IPFS per interagire con Tornado Cash potrebbe aver avuto le proprie note di deposito compromesse, inviandole direttamente a un server sotto il controllo del presunto sviluppatore.
Per gli inesperti, Tornado Cash funge da soluzione di privacy non custodial, consentendo agli utenti di effettuare transazioni sulla rete Ethereum senza lasciare tracce. Questo recente exploit ruota attorno a un pezzo di codice progettato per rimanere inosservato. Era stato concepito per catturare le note di deposito e instradarle verso un server privato, tutto sotto le spoglie di una proposta di governance benigna.
Ma ecco dove le cose si fanno interessanti: l'exploit ha preso di mira le transazioni effettuate tramite deploy IPFS di Tornado Cash. In altre parole, se hai interagito con Tornado Cash utilizzando interfacce locali, respira un sospiro di sollievo: sei al sicuro, grazie alla trasparenza e alla verificabilità delle interazioni dirette con il contratto.
L'exploit stesso è un'opera abile. Sono rimasto davvero impressionato dal lavoro. Fondamentalmente, codifica le note di deposito private per mascherarle come dati di chiamata, utilizzando furtivamente la funzione window.fetch per trasmettere queste informazioni sensibili al server dell'attaccante.
La community ha scoperto il codice exploit attraverso piattaforme come Cloudflare IPFS e i suoi collegamenti a un indirizzo Ethereum sospetto. Tuttavia, c'è un lato positivo sotto forma di passaggi di recupero che utenti e la community possono intraprendere per proteggere i propri asset e l'integrità di Tornado Cash. Una misura importante prevede il passaggio a un deployment IPFS ContextHash raccomandato, che potrebbe proteggere gli utenti da ulteriori danni. Questo deployment è convalidato attraverso proposte di governance precedenti.
Come di consueto, la community si sta unendo, con entità come ZeroTwoDAO e gli sviluppatori di Gas404 che difendono una posizione proattiva contro tali exploit. Il loro appello è rivolto ai detentori di TORN per esercitare i propri diritti di voto e vetoare le proposte che potrebbero contenere codice dannoso.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Dichiarazione di responsabilità: Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per gli investimenti effettuati sulla base delle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Jai Hamid
Jai Hamid si occupa di criptovalute, mercati azionari, tecnologia, economia globale ed eventi geopolitici che influenzano i mercati da 6 anni. Ha collaborato con pubblicazioni focalizzate sulla blockchain, tra cui AMB Crypto, Coin Edition e CryptoTale, per analisi di mercato, grandi aziende, regolamentazione e tendenze macroeconomiche. Si è formata presso la London School of Journalism e ha condiviso tre volte le sue analisi sui mercati delle criptovalute su una delle principali reti televisive dell'Africa.
