[亚伯拉罕]龙卷风现金漏洞：开发商自 1 月 1 日起就标记存款风险

目录

• 用户存款容易受到攻击

• 龙卷风现金的陨落

根据化名 Tornado Cash 开发商“Gas404”的说法，使用 IPFS 网关通过 ipfs.io、cf-ipfs.com 和 eth.link 等 IPFS 网关向 Tornado Cash 进行的存款可能已被泄露，从而可能使用户的存入资金面临风险。 .'

建议受影响的用户立即采取行动保护其存款。

用户存款容易受到攻击

根据 Gas404 的博客文章，社区对恶意 JavaScript 代码的存在做出了惊人的发现，这些代码隐藏在据称是 Tornado Cash 开发者（称为“蝴蝶效应”）提交的治理提案中。

据推测，这个隐藏代码自 1 月 1 日起就一直在向开发商控制的私人服务器泄露存款票据。

值得注意的是，风险似乎仅限于 Tornado Cash 的 IPFS 部署，因为 Gas404 提到可以在本地接口上轻松审核缩小源代码的更改。

为了减轻潜在的损害，该帖子建议 Tornado Cash 原生代币 TORN 的持有者对攻击者之前部署的两个有问题的提案进行投票否决。

“这只会计入 Tornado Cash 的 IPFS 部署，因为缩小的源已成为诈骗者的隐藏陷阱，因此使用本地接口与合约交互的人将被认为是安全的，因为可以轻松审核提交的更改。 ”

龙卷风现金的陨落

Tornado Cash 是世界上最受欢迎的加密货币混合器之一。

美国财政部外国资产控制办公室 (OFAC) 于 2022 年 8 月制裁了 Tornado Cash，禁止美国境内的个人、居民和实体通过该平台进行金融交易，这是一次重大打击。

美国财政部声称，加密货币混合器帮助洗钱了超过 70 亿美元的数字货币，其中 4.55 亿美元据信是在 2022 年被与朝鲜政府有联系的臭名昭著的实体 Lazarus Group 窃取的。

随后，该项目的域名被查封，GitHub 删除了 Tornado Cash 存储库，同时暂停了开发者的账户，引发了隐私倡导者的强烈抗议。

微软旗下的平台后来取消了混币器和贡献者的禁令。

去年 5 月，攻击者采用欺骗性提议来夺取 Tornado Cash 去中心化自治组织 (DAO) 的控制权。

该提案包含一个隐藏代码，该代码在 DAO 批准后授予黑客对欺诈性投票代币的所有权。

投票成功后，黑客积累了足够的投票权来操纵未来的提案。

到月底，黑客似乎放弃了控制权，将部分被盗的价值约 90 万美元的治理代币转换为以太币，然后通过 Tornado Cash 服务进行洗钱。

让事情更加复杂的是，另外两名 Tornado 开发商 Roman Storm 和 Roman Semenov 面临涉嫌参与洗钱活动的指控，涉案金额总计 10 亿美元。

罗曼·斯托姆随后在华盛顿州被捕，并对针对他的指控表示“无罪”。

龙卷风现金漏洞：开发商自 1 月 1 日起标记存款风险一文首先出现在 CryptoPotato 上。