「アップグレードされたTornado Cash」Foom.Cashが約230万ドルの損失

制裁されたミクサーTornado Cashの進化版として位置づけられたEthereumベースのプライバシープロトコル、Foom.Cashは、複数のブロックチェーンセキュリティ企業が発行したアラートによると、攻撃者がその暗号検証システムに欠陥を悪用した結果、約226万ドルのトークンを失ったと報告されています。

イーサリアムとBaseネットワークの両方の契約を襲ったこの攻撃は、セキュリティ研究者が数日前に別のプロトコルでターゲットとなったほぼ同一の脆弱性を複製したコピー-catの攻撃と説明される中、プラットフォームのネイティブ資産である242億8,377万3,519,600 FOOMトークンを吸い上げました。

Baseネットワーク上の単一のトランザクションは、悪意のあるアクターに直接帰属される約42万7,000ドルの損失を占めていました。イーサリアム上の合計約183万ドルのトランザクションは、ホワイトハットの救助作戦の一部であったようです。 

攻撃はどうやって起きたのか？

BinanceLabs主導のWeb3セキュリティネットワーク、 GoPlus Security, は攻撃を警告し、誤った検証キーの設定により攻撃者がzkSNARK証明書を偽造することを可能にしたと報告しました。これにより、攻撃者はプロトコルが有効として受け入れる暗号資格情報を偽造し、侵害された契約から大量のトークンを抽出することができました。

ブロックチェーンセキュリティプラットフォーム、Certik、 X 上で, 「根本原因は、0xc043865fb4D542E2bc5ed5Ed9A2F0939965671A6にあるGroth16検証プログラムのdelta2==gamma2設定にある可能性があります。これにより、攻撃者は他の入力がすべて同じであるにもかかわらず、異なる「nullifierHash」に必要な「pC」を計算し、ZOOMトークンを繰り返し収集することができます。」

要するに、その暗号保護の逆転がほぼ不可能であるとマーケティングで強調していたプロトコルは、設定ミスによって崩壊しました。

BlockSecのPhalcon 監視システムは、両方のネットワークで不審なトランザクションをリアルタイムで検出し、この事件は模倣攻撃であると述べています。同社は、この攻撃が数日前に発生したVeil Cashの侵害で以前に特定されたのと同じ根本原因を悪用したと指摘しました。

ただし、Veil Cashの侵害は規模が限定的であり、損失は報告によると2.9 ETHという少量のETHに限定されていたことに言及する価値があります。

Foom.Cashとは？

Foom.Cash は、スタンドアロンのプライバシーチェーンとして機能するZcashの匿名性、EthereumのDeFiエコシステムのアクセシビリティ、および組み込みのランダム報酬メカニズムを組み合わせた「ZKProof搭載プライベートロッタリープロトコル」として位置づけています。 

これは、 Tornado Cash のアップグレードであり、Ethereum上のZcashの代替手段として謳われています。Tornado Cashは2022年に米国財務省によって制裁されましたが、同省は2025年3月にプラットフォームの制裁を解除しました。 

プラットフォームによると、Tornado Cashよりも多くの日次トランザクションを処理し、800万ドル以上の流動性を誇り、流動性提供者に年間50〜80%の収益を生み出します。

DeFiにおけるプライバシーは新たな関心を集めており、Zcashは最近の数ヶ月で大幅な価格上昇を記録しました。Foom.Cashは、Ethereumの既存インフラ内でネイティブにプライバシーを提供することで、このトレンドに乗ろうとしました。

プラットフォームは、Zcashなどの確立されたプロトコルにおけるプライバシー保証の主要な要素の一つである、zkSNARKsと呼ばれる特定の変種を使用しました。

Foom.Cashは資金の回復と攻撃の解決のために何を行っていますか？

これまでに、回復に関する言及は、セキュリティ企業がホワイトハットの救助作戦の一部であると報告している約183万ドルの2番目のトランザクションに関連しています。

しかし、Foom.Cashチームはまだハッキングについて言及または認めていません。したがって、執筆時点では、プロトコルへの影響の範囲や、将来の攻撃を軽減するためにプロトコルが何を行っているかについての情報はありません。 

ホワイトハットの回復の兆しは、チームが裏方で資金の回復と根本的な問題の解決に取り組んでいる可能性を示唆しています。