- 한 개발자가 Tornado Cash 거버넌스 제안서에 악성 JavaScript를 삽입해 1월 1일 이후 사용자 예치 내역을 노출시킨 것으로 의심됩니다.
- 이 취약점은 IPFS 게이트웨이를 통해 Tornado Cash 사용자를 표적으로 삼아, 자금 노출 및 도난 위험을 초래했습니다.
- 기술 분석 결과, 이 공격 코드는 예치 내역을 공격자의 서버로 몰래 전달하도록 설계된 메커니즘을 사용한 것으로 확인되었습니다.
암호화폐 커뮤니티에서 프라이버시, 보안, 그리고 논쟁을 상징해 온 이름 토르나도 캐시(Tornado Cash)가 이제 우려스러운 폭로로 타격을 받았습니다. 커뮤니티에서 버터플라이 이펙츠(Butterfly Effects)로 알려진 한 개발자가 거버넌스 제안에 악성 자바스크립트를 밀반입하여 모두를 놀라게 했다고 합니다. 올해 초부터 IPFS 게이트웨이를 사용하여 토르나도 캐시와 상호작용한 모든 사람의 예치 노트가 침해되어 공격자가 통제하는 서버로 직접 전송된 것으로 보입니다.
초보자들을 위해 설명하자면, 토르나도 캐시는 이더리움 네트워크에서 흔적을 남기지 않고 거래를 수행할 수 있는 비 custodial 프라이버시 솔루션입니다. 이번 악용은 눈에 띄지 않도록 설계된 코드 조각을 중심으로 이루어졌습니다. 이 코드는 예치 노트를 빼내어 양성적인 거버넌스 제안이라는 가명 아래 개인 서버로 유입시키는 것을 목표로 했습니다.
하지만 여기서 흥미로운 점이 나옵니다: 이 악용은 토르나도 캐시의 IPFS 배포를 통해 이루어진 거래를 표적으로 삼았습니다. 즉, 로컬 인터페이스를 사용하여 토르나도 캐시와 상호작용했다면 안도하십시오. 직접적인 계약 상호작용의 투명성과 감사 가능성 덕분에 당신은 안전합니다.
악용 자체는 교묘한 작품입니다. 저는 실제로 이 작업에 감탄했습니다. 기본적으로 이 코드는 개인 예치 노트를 인코딩하여 호출 데이터로 가장하게 하고, window.fetch 함수를 사용하여 이 민감한 정보를 공격자의 서버로 은밀하게 전송합니다.
커뮤니티는 Cloudflare IPFS 및 의심스러운 이더리움 주소와의 연결과 같은 플랫폼을 통해 악용 코드를 발견했습니다. 그러나 사용자와 커뮤니티가 자산을 보호하고 토르나도 캐시의 무결성을 유지하기 위해 취할 수 있는 복구 단계라는 은빛 줄거리가 있습니다. 중요한 조치 중 하나는 권장되는 IPFS ContextHash 배포로 전환하는 것으로, 이는 사용자를 추가 피해로부터 보호할 수 있습니다. 이 배포는 이전 거버넌스 제안을 통해 검증되었습니다.
예상대로 커뮤니티는 ZeroTwoDAO와 Gas404 개발자와 같은实体들이 이러한 악용에 대해 능동적인 입장을 취할 것을 주장하며 단결하고 있습니다. 그들의 행동 촉구는 TORN 보유자들이 투표권을 행사하여 악성 코드를 포함할 수 있는 제안을 거부하는 것입니다.
암호화폐 뉴스를 단순히 읽는 것을 넘어, 이해하세요. 뉴스레터에 구독하세요. 무료입니다.
면책 조항: 제공된 정보는 거래 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 바탕으로 이루어진 어떠한 투자에 대해서도 책임을 지지 않습니다. 어떠한 투자 결정을 내리기 전에 반드시 독자적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
Jai Hamid
Jai Hamid 은 지난 6 년간 암호화폐, 주식 시장, 기술, 글로벌 경제 및 시장에 영향을 미치는 지정학적 사건들을 취재해 왔습니다. 그녀는 AMB Crypto, Coin Edition, CryptoTale 등 블록체인 전문 매체에서 시장 분석, 주요 기업, 규제 및 거시경제 동향에 관해 활동했습니다. 런던 저널리즘 스쿨을 졸업했으며 아프리카 최고 TV 네트워크 중 하나에서 세 차례 암호화폐 시장 인사이트를 공유했습니다.
