- Разработчик, по сообщениям, внедрил вредоносный JavaScript в предложение по управлению Tornado Cash, что привело к раскрытию заметок о депозитах пользователей с 1 января.
- Эксплойт был направлен конкретно на пользователей Tornado Cash через шлюзы IPFS, создавая риск раскрытия и кражи их средств.
- Технический анализ выявил механизм кода эксплойта, предназначенного для тайной пересылки заметок о депозитах на сервер атакующего.
Tornado Cash, имя, которое стояло за приватностью, безопасностью и противоречиями в крипто-сообществе, только что столкнулось с тревожным раскрытием. Разработчик, известный в сообществе как Butterfly Effects, якобы пронес вредоносный JavaScript в предложение по управлению, заставив всех застигнуть врасплох. С начала года, похоже, любой, кто использовал шлюзы IPFS для взаимодействия с Tornado Cash, мог иметь свои депозитные заметки скомпрометированы, отправленные прямо на сервер под контролем предполагаемого разработчика.
Для непосвященных, Tornado Cash служит неконтролируемым решением для приватности, позволяя пользователям совершать транзакции в сети Ethereum, не оставляя следа. Этот недавний эксплойт вращается вокруг куска кода, который должен был остаться незамеченным. Он был разработан для захвата депозитных заметок и направления их на частный сервер, все под видом доброкачественного предложения по управлению.
Но вот где становится интересно: эксплойт нацелился на транзакции, сделанные через развертывания IPFS Tornado Cash. Другими словами, если вы взаимодействовали с Tornado Cash с использованием локальных интерфейсов, выдохните с облегчением — вы в безопасности, благодаря прозрачности и проверяемости прямых взаимодействий с контрактом.
Сам эксплойт — искусная работа. Я действительно впечатлен работой. По сути, он кодирует частные депозитные заметки, чтобы маскироваться под call data, хитро используя функцию window.fetch для передачи этой конфиденциальной информации на сервер атакующего.
Сообщество обнаружило код эксплойта через платформы, такие как Cloudflare IPFS, и его ссылки на подозрительный адрес Ethereum. Однако есть серебряная подкладка в виде шагов восстановления, которые пользователи и сообщество могут предпринять для защиты своих активов и целостности Tornado Cash. Важная мера включает переключение на рекомендуемое развертывание IPFS ContextHash, которое может защитить пользователей от дальнейшего вреда. Это развертывание проверено через предыдущие предложения по управлению.
Как обычно, сообщество объединяется, с такими сущностями, как ZeroTwoDAO и разработчиками Gas404, выступающими за проактивный подход к таким эксплойтам. Их призыв к действию — для держателей TORN использовать свои права голоса и вето на предложения, которые могут содержать вредоносный код.
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Отказ от ответственности: Предоставленная информация не является инвестиционной рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Джай Хамид
Джай Хамид последние 6 лет освещает криптовалюты, фондовые рынки, технологии, мировую экономику и геополитические события, влияющие на рынки. Она работала с изданиями, сфокусированными на блокчейне, включая AMB Crypto, Coin Edition и CryptoTale, над рыночными аналитическими материалами, обзорами крупных компаний, регулированием и макроэкономическими трендами. Окончила Лондонскую школу журналистики и трижды выступала с аналитическими обзорами криптовалютного рынка на одном из ведущих телеканалов Африки.
