«Обновленный Tornado Cash» Foom.Cash столкнулся с потерями почти в 2,3 млн долларов в результате взлома

Foom.Cash, протокол конфиденциальности на базе Ethereum, позиционирующий себя как эволюция санкционированного миксера Tornado Cash, reportedly потерял около 2,26 миллиона долларов в токенах после того, как злоумышленник эксплуатировал уязвимость в системе криптографической верификации, согласно предупреждениям, выпущенным несколькими компаниями по безопасности блокчейна.

Атака, затронувшая контракты как в сетях Ethereum, так и Base, опустошила 24 283 773 519 600 токенов FOOM, нативного актива платформы, в том, что исследователи безопасности описали как копию взлома, воспроизводящего почти идентичную уязвимость, нацеленную на отдельный протокол всего за несколько дней до этого.

Одна транзакция в сети Base привела к потерям примерно на 427 000 долларов, напрямую приписываемым злоумышленнику. Транзакции в Ethereum на сумму около 1,83 миллиона долларов, по-видимому, были частью операции по спасению «белыми шляпами». 

Как произошел эксплойт?

Сеть безопасности Web3 под руководством BinanceLabs, Компания, отметила атаку, сообщив, что неверная конфигурация ключа верификации позволила злоумышленнику подделать доказательства zkSNARK. Это позволило им сфабриковать криптографические учетные данные, которые протокол принял как действительные, а затем извлечь большие объемы токенов из скомпрометированных контрактов.

Платформа безопасности блокчейна Certik, написал в X, «Корневая причина может заключаться в настройке delta2==gamma2 верификатора Groth16 по адресу 0xc043865fb4D542E2bc5ed5Ed9A2F0939965671A6. Это позволяет злоумышленнику вычислять «pC», необходимый для различных «nullifierHash», в то время как все остальные входные данные одинаковы, и повторно собирать токены ZOOM».

Короче говоря, протокол, маркетинг которого подчеркивал почти невозможность отмены его криптографических защит, был разрушен из-за неправильной конфигурации.

Система мониторинга Phalcon от BlockSec , которая обнаружила подозрительные транзакции в обеих сетях в реальном времени, заявила, что инцидент, по-видимому, является атакой-имитацией. Компания отметила, что атака эксплуатировала ту же корневую причину, которая ранее была выявлена во время взлома Veil Cash, произошедшего несколько дней назад.

Хотя стоит отметить, что взлом Veil Cash был менее масштабным, с потерями, ограниченными небольшим количеством ETH, reportedly 2.9 ETH.

Что такое Foom.Cash?

Foom.Cash позиционирует себя как «Протокол приватной лотереи на базе ZKProof», который объединяет анонимность Zcash, работающего как отдельная приватная цепочка, доступность экосистемы DeFi Ethereum и встроенный механизм случайных вознаграждений. 

Он позиционируется как обновление Tornado Cash и альтернатива Zcash в Ethereum. Tornado Cash был санкционирован Министерством финансов США в 2022 году, но в марте 2025 года ведомство сняло санкции с платформы. 

Согласно информации платформы, она обрабатывает больше ежедневных транзакций, чем Tornado Cash, имеет ликвидность более восьми миллионов долларов и генерирует годовую доходность от 50 до 80% для поставщиков ликвидности.

Приватность в DeFi переживает renewed interest, с Zcash, зарегистрировавшим значительный рост цены в последние месяцы, и Foom.Cash стремился воспользоваться этой тенденцией, предлагая приватность нативно в существующей инфраструктуре Ethereum.

Платформа использовала конкретный вариант под названием zkSNARKs, который является одним из ключевых ингредиентов, обеспечивающих гарантии конфиденциальности в таких хорошо зарекомендовавших себя протоколах, как Zcash.

Что делает Foom.Cash для восстановления средств и устранения последствий взлома?

На данный момент единственное упоминание о восстановлении связано со второй транзакцией на сумму около 1,83 миллиона долларов, которую компании по безопасности сообщают как часть операции по спасению «белыми шляпами».

Однако команда Foom.Cash пока не упоминала и не признавала взлом. Таким образом, на момент написания статьи нет информации о масштабах воздействия на протокол или о том, что протокол делает для смягчения будущих атак. 

Упоминание о восстановлении «белыми шляпами» намекает на то, что команда может работать за кулисами для восстановления средств и устранения основных проблем.