Tornado Cash 治理提案中发现恶意代码

Tornado Cash，一个在加密社区中代表隐私、安全和争议的名字，刚刚遭遇了一个令人担忧的揭露。一名在社区中被称为 Butterfly Effects 的开发者，据称将恶意 JavaScript smuggled 进治理提案中，让所有人措手不及。自今年年初以来，似乎任何使用 IPFS 网关与 Tornado Cash 交互的人，其存款凭证可能都已泄露，直接发送到了该所谓开发者控制的服务器上。

对于不熟悉的人来说，Tornado Cash 是一种非托管隐私解决方案，允许用户在 以太坊 网络上进行交易而不留痕迹。这次漏洞利用围绕着一段旨在不被注意的代码展开。它的设计目的是窃取存款凭证并将它们引导至私人服务器，这一切都伪装在一个无害的治理提案之下。

但事情变得有趣的地方在于：漏洞利用针对的是通过 Tornado Cash 的 IPFS 部署进行的交易。换句话说，如果你使用本地界面与 Tornado Cash 交互，那就松一口气吧——你是安全的，这得益于直接合约交互的透明性和可审计性。

漏洞利用本身是一件精巧的作品。我实际上对这项工作印象深刻。基本上，它将私人存款编码以伪装成调用数据，偷偷使用 window.fetch 函数将这种敏感信息传输到攻击者的服务器。

社区通过 Cloudflare IPFS 等平台发现了漏洞利用代码及其与可疑以太坊地址的链接。然而，有一种转机是用户可以和社区采取的恢复步骤，以保护他们的资产和 Tornado Cash 的完整性。一项重要措施是切换到推荐的 IPFS ContextHash 部署，这可以保护用户免受进一步伤害。该部署已通过先前的治理提案验证。

像往常一样，社区正在团结起来，ZeroTwoDAO 和 Gas404 开发者等实体倡导采取主动立场来应对此类漏洞利用。他们的呼吁是 TORN 持有者行使投票权，否决可能包含恶意代码的提案。