Sicherheitslücke bei Tornado-Bargeld: Entwickler weisen seit dem 1. Januar auf das Einlagenrisiko hin
Einzahlungen an Tornado Cash über IPFS-Gateways über IPFS-Gateways wie – ipfs.io, cf-ipfs.com und eth.link – könnten kompromittiert worden sein, wodurch die eingezahlten Gelder der Benutzer möglicherweise einem Risiko ausgesetzt sind, so der pseudonyme Tornado Cash Entwickler „Gas404“.
Betroffenen Benutzern wurde empfohlen, sofort Maßnahmen zur Sicherung ihrer Einlagen zu ergreifen.
Benutzereinlagen gefährdet
Laut einem Blogbeitrag von Gas404 machte die Community eine überraschende Entdeckung über das Vorhandensein von bösartigem JavaScript-Code, der in einem Governance-Vorschlag eines angeblichen Tornado Cash-Entwicklers namens Butterfly Effects versteckt war.
Es wird vermutet, dass dieser versteckte Code seit dem 1. Januar Einzahlungsscheine an einen privaten Server weitergegeben hat, der vom Entwickler kontrolliert wird.
Das Risiko scheint insbesondere auf IPFS-Einsätze von Tornado Cash beschränkt zu sein, da Gas404 erwähnte, dass Änderungen am minimierten Quellcode problemlos auf lokalen Schnittstellen überprüft werden könnten.
Um den potenziellen Schaden abzumildern, empfahl der Beitrag den Inhabern des nativen Tokens von Tornado Cash, TORN, für ein Veto gegen die beiden fragwürdigen Vorschläge, die der Angreifer zuvor vorgelegt hatte.
„Dies würde nur für die IPFS-Bereitstellungen von Tornado Cash gelten, da die minimierte Quelle zu einer versteckten Falle für einen Betrüger geworden ist und daher Personen, die über lokale Schnittstellen mit dem Vertrag interagiert haben, als sicher gelten würden, da Änderungen an Commits vorgenommen werden könnten.“ leicht zu prüfen.“
Der Fall von Tornado Cash
Tornado Cash ist einer der beliebtesten Krypto-Mixer der Welt. Ein schwerer Schlag war, als das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums Tornado Cash im August 2022 sanktionierte und es Einzelpersonen, Einwohnern und Unternehmen in den Vereinigten Staaten untersagte, Finanztransaktionen über die Plattform durchzuführen.
Das Finanzministerium behauptete, dass der Krypto-Mixer die Wäsche von über 7 Milliarden US-Dollar an digitalen Währungen erleichtert habe, darunter 455 Millionen US-Dollar, die vermutlich im Jahr 2022 von der Lazarus Group, einem berüchtigten Unternehmen mit Verbindungen zur nordkoreanischen Regierung, gestohlen wurden.
Anschließend wurde die Domain des Projekts beschlagnahmt und GitHub entfernte das Tornado Cash-Repository und sperrte gleichzeitig die Konten der Entwickler, was zu einem Aufschrei von Datenschutzbefürwortern führte. Die Microsoft-eigene Plattform entsperrte später den Coin-Mixer und seine Mitwirkenden.
Im vergangenen Mai nutzte ein Angreifer einen betrügerischen Vorschlag, um die Kontrolle über die Decentralized Autonomous Organization (DAO) von Tornado Cash zu erlangen. Der Vorschlag enthielt einen versteckten Code, der dem Hacker nach Genehmigung durch das DAO den Besitz betrügerischer Abstimmungstoken gewährte.
Nach einer erfolgreichen Abstimmung verfügte der Hacker über genügend Stimmrechte, um künftige Vorschläge zu manipulieren. Am Ende des Monats schien der Hacker die Kontrolle verloren zu haben, nachdem er einen Teil der gestohlenen Governance-Token im Wert von etwa 900.000 US-Dollar in Ether umgewandelt hatte, die dann über den Tornado Cash-Dienst gewaschen wurden.
Erschwerend kam hinzu, dass gegen zwei weitere Tornado-Entwickler, Roman Storm und Roman Semenov, Anklage wegen angeblicher Beteiligung an der Beihilfe zur Geldwäsche in Höhe von insgesamt 1 Milliarde US-Dollar erhoben wurde. Roman Storm wurde anschließend im US-Bundesstaat Washington festgenommen und bekannte sich in den gegen ihn erhobenen Anklagen „nicht schuldig“.
Der Beitrag Tornado Cash Vulnerability: Entwickler weisen auf das Einlagenrisiko seit dem 1. Januar hin erschien zuerst auf CryptoPotato.
