‘Улучшенная версия Tornado Cash’ Foom.Cash столкнулась с убытками почти в 2,3 миллиона долларов из-за взлома

Foom.Cash, протокол конфиденциальности на базе Ethereum, позиционирующий себя как эволюция заблокированного миксера Tornado Cash, предположительно потерял около 2,26 миллиона долларов в виде токенов после того, как злоумышленник воспользовался уязвимостью в системе криптографической проверки, согласно предупреждениям, выпущенным несколькими компаниями, занимающимися безопасностью блокчейна.

Атака, затронувшая контракты в сетях Ethereum и Base, привела к выводу 24 283 773 519 600 токенов FOOM, являющихся нативным активом платформы, в то время как исследователи в области безопасности описывают это как "копию" взлома, эксплуатирующего практически идентичную уязвимость, обнаруженную в другом протоколе всего несколько дней назад.

Одна транзакция в сети Base привела к убыткам в размере примерно 427 000 долларов, которые напрямую связаны с действиями злоумышленника. Транзакции в сети Ethereum, на общую сумму около 1,83 миллиона долларов, по-видимому, были частью операции по "спасению", проводимой добросовестными участниками.

Как произошел взлом?

Компания GoPlus Security, сеть Web3, поддерживаемая Binance Labs, обнаружила атаку и сообщила, что неправильная конфигурация ключа проверки позволила злоумышленнику подделать доказательства zkSNARK. Это позволило им создать криптографические данные, которые протокол принял как действительные, и затем изъять большие объемы токенов из скомпрометированных контрактов.

Платформа Certik, занимающаяся безопасностью блокчейна, написала в X: "Основная причина, вероятно, заключается в настройке delta2==gamma2 в верификаторе Groth16 по адресу 0xc043865fb4D542E2bc5ed5Ed9A2F0939965671A6. Это позволяет злоумышленнику вычислять 'pC', необходимый для разных 'nullifierHash', при этом все остальные входные данные остаются одинаковыми, и многократно собирать токены ZOOM".

Коротко говоря, протокол, маркетинг которого подчеркивал практически невозможность обхода его криптографической защиты, был скомпрометирован из-за неправильной конфигурации.

Система мониторинга BlockSec, Phalcon, которая в режиме реального времени отслеживает подозрительные транзакции в обеих сетях, заявила, что инцидент, по-видимому, является имитацией атаки. Компания отметила, что атака использовала ту же корневую причину, которая ранее была выявлена в результате взлома Veil Cash, произошедшего несколько дней назад.

Стоит отметить, что взлом Veil Cash был менее масштабным, и убытки были ограничены небольшим количеством ETH, а именно 2,9 ETH.

Что такое Foom.Cash?

Foom.Cash позиционирует себя как "протокол конфиденциальной лотереи на основе ZKProof", который сочетает в себе анонимность Zcash, работающей как независимая цепочка конфиденциальности, доступность DeFi-экосистемы Ethereum и встроенный механизм случайных наград.

Он позиционируется как улучшенная версия Tornado Cash и альтернатива Zcash на Ethereum. Tornado Cash был внесен в список санкций Министерством финансов США в 2022 году, но ведомство сняло санкции с платформы в марте 2025 года.

По данным платформы, она обрабатывает больше ежедневных транзакций, чем Tornado Cash, обладает ликвидностью более чем в восемь миллионов долларов и обеспечивает годовую доходность для поставщиков ликвидности от 50 до 80%.

Конфиденциальность в DeFi переживает возрождение интереса, Zcash за последние месяцы показал значительный рост цены, и Foom.Cash стремилась воспользоваться этой тенденцией, предлагая конфиденциальность, встроенную непосредственно в существующую инфраструктуру Ethereum.

См. также: Стейблкоины лучше, чем CBDC: Губернатор Центрального банка Австралии.

Платформа использовала специальный вариант, называемый zkSNARKs, который является одним из ключевых компонентов, обеспечивающих конфиденциальность в хорошо зарекомендовавших себя протоколах, таких как Zcash.

Что делает Foom.Cash для восстановления средств и устранения уязвимости?

Пока что единственное упоминание о восстановлении связано со второй транзакцией на сумму около 1,83 миллиона долларов, которую, по сообщениям, компаниям по безопасности удалось предотвратить в рамках операции "белого хакера".

Однако команда Foom.Cash пока не прокомментировала и не признала факт взлома. Таким образом, на момент написания этой статьи нет информации о масштабах ущерба от протокола и о том, какие меры предпринимаются для предотвращения будущих атак.

Тот факт, что была предпринята попытка восстановления со стороны "белого хакера", намекает на то, что команда может работать за кулисами над восстановлением средств и решением основных проблем.