‘Tornado Cash Atualizado’ Foom.Cash enfrenta perda de quase US$ 2,3 milhões em exploit
- O protocolo de privacidade Foom.Cash perdeu cerca de $2,26 milhões após um atacante forjar provas zkSNARK devido a uma configuração incorreta do verificador.
- A exploração atingiu contratos na Ethereum e Base, drenando 24,28 trilhões de tokens FOOM, com ~$427K retirados maliciosamente e ~$1,83M movidos em uma resgate de 'white hat'.
- Empresas de segurança rastrearam a causa raiz para uma configuração defeituosa de verificação Groth16, permitindo saques repetidos de tokens.
A Foom.Cash, um protocolo de privacidade baseado em Ethereum que se posicionou como uma evolução do mixer sancionado Tornado Cash, reportedly perdeu aproximadamente US$ 2,26 milhões em tokens após um atacante explorar uma falha em seu sistema de verificação criptográfica, de acordo com alertas emitidos por várias empresas de segurança de blockchain.
O ataque, que atingiu contratos nas redes Ethereum e Base, drenou 24.283.773.519.600 tokens FOOM, o ativo nativo da plataforma, no que os pesquisadores de segurança descreveram como um exploit de cópia que replicou uma vulnerabilidade quase idêntica visada em um protocolo separado apenas dias antes.
Uma única transação na rede Base representou aproximadamente US$ 427.000 em perdas atribuídas diretamente ao ator malicioso. Transações na Ethereum totalizando cerca de US$ 1,83 milhão parecem ter feito parte de uma operação de resgate white-hat.
Como a exploração aconteceu?
Rede de segurança Web3 liderada pela BinanceLabs, A GoPlus Security, sinalizou o ataque, relatando que uma configuração incorreta da chave de verificação permitiu que o atacante forjasse provas zkSNARK. Isso permitiu que eles fabricassem credenciais criptográficas que o protocolo aceitou como válidas e então extraiam grandes volumes de tokens dos contratos comprometidos.
Plataforma de segurança de blockchain, Certik, escreveu no X, “A causa raiz pode ser a configuração delta2==gamma2 do verificador Groth16 em 0xc043865fb4D542E2bc5ed5Ed9A2F0939965671A6. Isso permite que o explorador calcule ‘pC’ necessário para diferentes ‘nullifierHash’ enquanto todas as outras entradas são as mesmas, e coletar repetidamente tokens ZOOM.”
Em resumo, um protocolo cujo marketing enfatizava a quase impossibilidade de reverter suas proteções criptográficas foi desfeito por uma configuração incorreta.
Phalcon da BlockSec sistema de monitoramento, que detectou transações suspeitas em ambas as redes em tempo real, afirmou que o incidente parecia ser um ataque de imitação. A empresa observou que o ataque explorou a mesma causa raiz identificada anteriormente na violação do Veil Cash, que ocorreu alguns dias antes.
Embora valha a pena mencionar que a violação do Veil Cash foi mais limitada em escala, com perdas contidas a um pequeno número de ETH, relatado como 2,9 ETH.
O que é Foom.Cash?
Foom.Cash posiciona-se como um “Protocolo de Loteria Privada alimentado por ZKProof” que combina a anonimidade do Zcash, que opera como uma cadeia de privacidade independente, a acessibilidade do ecossistema DeFi do Ethereum e um mecanismo de recompensa aleatório integrado.
É apresentado como uma atualização para Tornado Cash e uma alternativa ao Zcash no Ethereum. O Tornado Cash foi sancionado pelo Tesouro dos EUA em 2022, mas o departamento levantou suas sanções sobre a plataforma em março de 2025.
De acordo com a plataforma, ela processa mais transações diárias do que o Tornado Cash, possui mais de oito milhões de dólares em liquidez e gera retornos anuais de 50 a 80% para provedores de liquidez.
A privacidade no DeFi tem experimentado um interesse renovado, com o Zcash registrando um aumento significativo de preço nos últimos meses, e a Foom.Cash buscou capitalizar essa tendência oferecendo privacidade nativamente dentro da infraestrutura existente do Ethereum.
A plataforma usou uma variante específica chamada zkSNARKs, que é um dos ingredientes-chave por trás das garantias de privacidade em protocolos bem estabelecidos como o Zcash.
O que a Foom.Cash está fazendo para recuperar os fundos e resolver o exploit?
Até agora, a única menção de uma recuperação está ligada à segunda transação de cerca de US$ 1,83 milhão, que as empresas de segurança relatam ter feito parte de uma operação de resgate white-hat.
No entanto, a equipe da Foom.Cash ainda não mencionou ou reconheceu o hack. Portanto, no momento da redação deste artigo, não há informações sobre a extensão do impacto do protocolo ou o que o protocolo está fazendo para mitigar ataques futuros.
A recuperação whitehat sugere que a equipe pode estar trabalhando nos bastidores para recuperar os fundos e resolver os problemas subjacentes.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação de blogs e cobertura de eventos no espaço cripto. Na Cryptopolitan, Hannah contribui para a página de notícias, relatando e analisando os últimos desenvolvimentos nos setores DeFi, RWA, regulação cripto, IA e tecnologias de fronteira. Ela se formou na Universidade Arcadia com graduação em Administração de Empresas.
