“升级版 Tornado Cash” Foom.Cash 在漏洞利用中损失近 230 万美元

据多家区块链安全公司发布的警报称，以太坊隐私协议 Foom.Cash 将自己定位为受制裁的混合器 Tornado Cash 的进化版，在攻击者利用其加密验证系统中的漏洞后，据报道损失了约 226 万美元的代币。

此次攻击同时波及以太坊和 Base 网络上的合约，盗取了 24,283,773,519,600 枚 FOOM 代币（该平台原生资产），安全研究人员将其描述为复制了几天前在另一协议中针对几乎相同漏洞的复制品漏洞利用。

Base 网络上的单笔交易造成了约 427,000 美元的损失，直接归因于恶意行为者。以太坊上的交易总额约为 183 万美元，似乎是白帽救援行动的一部分。 

漏洞是如何发生的？

由 BinanceLabs 领导的 Web3 安全网络， GoPlus Security，标记了此次攻击，报告称不正确的验证密钥配置允许攻击者伪造 zkSNARK 证明。这使他们能够伪造协议接受为有效的加密凭证，然后从受损合约中提取大量代币。

区块链安全平台 Certik， 在X上写道，“根本原因可能是 0xc043865fb4D542E2bc5ed5Ed9A2F0939965671A6 处的 Groth16 验证器的 delta2==gamma2 设置为 0。这使得攻击者能够在所有其他输入相同的情况下计算不同‘nullifierHash’所需的‘pC’，并反复收集 ZOOM 代币。”

简而言之，一个在营销中强调其加密保护几乎不可逆转的协议，因配置错误而崩溃。

BlockSec 的 Phalcon 监控系统实时检测到了两个网络上的可疑交易，并表示该事件似乎是一次模仿攻击。该公司指出，该攻击利用了几天前 Veil Cash 漏洞中确定的相同根本原因。

虽然值得一提的是，Veil Cash 漏洞的规模更为有限，损失仅限于少量 ETH，据报道为 2.9 ETH。

什么是 Foom.Cash？

Foom.Cash 将自己定位为“由 ZKProof 支持的私人彩票协议”，结合了作为独立隐私链运行的 Zcash 的匿名性、以太坊 DeFi 生态系统的可访问性，以及内置的随机奖励机制。 

它被誉为 Tornado Cash 的升级版，也是以太坊上 Zcash 的替代品。Tornado Cash 于 2022 年被美国财政部制裁，但该部门于 2025 年 3 月解除对该平台的制裁。 

根据该平台的数据，它处理的每日交易数量多于 Tornado Cash，拥有超过 800 万美元的流动性，并为流动性提供者产生 50% 至 80% 的年度回报。

DeFi 中的隐私正重新受到关注，Zcash 在最近几个月经历了显著的价格上涨，Foom.Cash 试图通过在其现有基础设施内提供原生隐私来利用这一趋势。

该平台使用了一种称为 zkSNARKs 的特定变体，这是 Zcash 等成熟协议中隐私保障的关键要素之一。

Foom.Cash 正在采取什么措施来追回资金并解决漏洞利用？

到目前为止，唯一提到的追回行动与约 183 万美元的第二笔交易有关，安全公司报告称这是白帽救援行动的一部分。

然而，Foom.Cash 团队尚未提及或承认此次黑客攻击。因此，截至发稿时，没有关于协议受影响程度或协议正在采取什么措施来减轻未来攻击的信息。 

白帽回收暗示团队可能在幕后努力追回资金并解决根本问题。