- Um desenvolvedor supostamente inseriu JavaScript malicioso em uma proposta de governança do Tornado Cash, expondo notas de depósito dos usuários desde 1º de janeiro.
- A exploração visou especificamente os usuários do Tornado Cash por meio de gateways IPFS, correndo o risco de expor e roubar seus fundos.
- Análise técnica revelou o mecanismo do código da exploração, projetado para encaminhar secretamente as notas de depósito para o servidor do atacante.
Tornado Cash, um nome que representava privacidade, segurança e controvérsia na comunidade cripto, acabou de ser atingido por uma revelação preocupante. Um desenvolvedor, conhecido na comunidade como Butterfly Effects, supostamente introduziu JavaScript malicioso em uma proposta de governança, pegando todos de surpresa. Desde o início do ano, parece que qualquer pessoa que usou gateways IPFS para interagir com o Tornado Cash pode ter tido suas notas de depósito comprometidas, enviando-as diretamente para um servidor sob o controle do suposto desenvolvedor.
Para os não iniciados, o Tornado Cash serve como uma solução de privacidade não custodial, permitindo que os usuários façam transações na rede Ethereum sem deixar rastros. Esta recente exploração gira em torno de um trecho de código que deveria permanecer despercebido. Ele foi projetado para capturar notas de depósito e encaminhá-las para um servidor privado, tudo sob a fachada de uma proposta de governança benigna.
Mas é aqui que as coisas ficam interessantes: a exploração visava transações feitas por meio de implantações IPFS do Tornado Cash. Em outras palavras, se você interagiu com o Tornado Cash usando interfaces locais, respire aliviado — você está seguro, graças à transparência e auditabilidade das interações diretas com o contrato.
A própria exploração é uma peça engenhosa. Na verdade, estou impressionado com o trabalho. Basicamente, ele codifica notas de depósito privadas para se disfarçar como dados de chamada, usando furtivamente a função window.fetch para transmitir essas informações sensíveis ao servidor do atacante.
A comunidade descobriu o código de exploração por meio de plataformas como o Cloudflare IPFS e seus links para um endereço Ethereum suspeito. No entanto, há um ponto positivo na forma de etapas de recuperação que os usuários e a comunidade podem tomar para proteger seus ativos e a integridade do Tornado Cash. Uma medida importante envolve mudar para uma implantação de ContextHash IPFS recomendada, que poderia proteger os usuários de mais danos. Esta implantação é validada por propostas de governança anteriores.
Como de costume, a comunidade está se unindo, com entidades como ZeroTwoDAO e desenvolvedores da Gas404 defendendo uma postura proativa contra tais explorações. Seu chamado à ação é para que os detentores de TORN exerçam seus direitos de voto e vetem propostas que possam conter código malicioso.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Aviso Legal: As informações fornecidas não constituem aconselhamento de negociação. A Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações disponibilizadas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar qualquer decisão de investimento.
Jai Hamid
Jai Hamid cobre criptomoedas, mercados de ações, tecnologia, economia global e eventos geopolíticos que afetam os mercados há 6 anos. Ela trabalhou com publicações focadas em blockchain, incluindo AMB Crypto, Coin Edition e CryptoTale, em análises de mercado, grandes empresas, regulamentação e tendências macroeconômicas. Formada na London School of Journalism, ela compartilhou insights sobre o mercado de criptomoedas três vezes em uma das principais redes de TV da África.
