Депозиты, внесенные в Tornado Cash с использованием шлюзов IPFS через шлюзы IPFS, такие как ipfs.io, cf-ipfs.com и eth.link, могли быть скомпрометированы, что потенциально подвергало внесенные пользователи риску, согласно псевдониму Tornado Cash. разработчик «Газ404».
Пострадавшим пользователям было рекомендовано принять немедленные меры для защиты своих депозитов.
Депозиты пользователей уязвимы
Согласно сообщению в блоге Gas404, сообщество сделало поразительное открытие о наличии вредоносного кода JavaScript, который был спрятан в предложении по управлению, представленном предполагаемым разработчиком Tornado Cash, известным как Butterfly Effects.
Предполагается, что этот скрытый код с 1 января передавал депозитные купюры на частный сервер, контролируемый разработчиком.
Примечательно, что риск, похоже, ограничивается развертыванием Tornado Cash на IPFS, поскольку Gas404 упомянул, что изменения в минимизированном исходном коде можно легко проверить на локальных интерфейсах.
Чтобы смягчить потенциальный ущерб, в сообщении рекомендуется владельцам собственного токена Tornado Cash, TORN, проголосовать за наложение вето на два сомнительных предложения, ранее выдвинутых эксплуататором.
«Это будет учитываться только при развертывании Tornado Cash в IPFS, поскольку минимизированный источник стал скрытой ловушкой для мошенников, и, таким образом, люди, которые взаимодействовали с контрактом с использованием локальных интерфейсов, будут считаться безопасными, поскольку изменения в коммитах могут быть легко проверить».
Падение Tornado Cash
Tornado Cash — один из самых популярных крипто-миксеров в мире. Серьезным ударом стало то, что Управление по контролю за иностранными активами (OFAC) Министерства финансов США в августе 2022 года наложило санкции на Tornado Cash, запретив физическим лицам, резидентам и организациям на территории США участвовать в финансовых транзакциях через платформу.
Министерство финансов заявило, что крипто-микшер способствовал отмыванию более 7 миллиардов долларов в цифровых валютах, включая 455 миллионов долларов, которые, как предполагается, были украдены в 2022 году Lazarus Group, печально известной организацией, связанной с правительством Северной Кореи.
>
Впоследствии домен проекта был конфискован, а GitHub удалил репозиторий Tornado Cash, одновременно приостановив работу учетных записей разработчиков, что вызвало протест со стороны защитников конфиденциальности. Позднее платформа, принадлежащая Microsoft, разблокировала миксер монет и участников.
В мае прошлого года злоумышленник применил обманное предложение, чтобы получить контроль над децентрализованной автономной организацией Tornado Cash (DAO). Предложение содержало скрытый код, который давал хакеру право собственности на поддельные токены для голосования после одобрения DAO.
После успешного голосования хакер набрал достаточно голосов, чтобы манипулировать будущими предложениями. К концу месяца хакер, по-видимому, отказался от контроля, конвертировав часть украденных токенов управления на сумму около 900 000 долларов в эфир, которые затем были отмыты через сервис Tornado Cash.
Дело еще больше усложняется тем, что еще двум разработчикам Tornado, Роману Шторму и Роману Семенову, предъявлены обвинения, связанные с их предполагаемым участием в содействии отмыванию денег на общую сумму 1 миллиард долларов. Впоследствии Роман Сторм был задержан в штате Вашингтон и не признал себя «виновным» по предъявленным ему обвинениям.
Пост «Уязвимость Tornado Cash: разработчики отмечают риск депозитов с 1 января» впервые появился на CryptoPotato.
