Le développeur du mélangeur de crypto-monnaie Tornado Cash, connu sous le nom de « Gas404 », a émis un avertissement concernant la sécurité des utilisateurs. Selon le développeur, il existe un risque de compromettre les multiples dépôts effectués sur le mélangeur à partir du 1er janvier 2024.
Gas404 a spécifiquement mis en garde contre les dépôts effectués à l’aide des passerelles IPFS via les passerelles IPFS. Autrement dit, via des liens tels que ipfs.io, cf-ipfs.com et eth.link. Le développeur a averti que la faille pourrait compromettre la sécurité des portefeuilles et des crypto-monnaies des utilisateurs.
Il a ensuite averti les utilisateurs concernés de prendre des mesures immédiates pour protéger leurs dépôts. Mais il a déclaré que ceux qui effectuaient des transactions via d’autres passerelles ne couraient en principe aucun risque.
Dépôts à risque
Selon un article de blog, Gas404 a déclaré que c’est la communauté Tornado Cash qui a découvert la vulnérabilité. En ce sens, les utilisateurs ont mis en garde contre la présence de code malveillant réalisé en JavaScript, caché dans le mixeur.
Mais le plus frappant est que ce code était caché dans une proposition de gouvernance présentée par un prétendu développeur de Tornado Cash connu sous le nom de Butterfly Effects. Il aurait inclus le code suspect et aurait ainsi commencé à enregistrer toutes les transactions effectuées à partir du 1er janvier.
Le risque semble notamment limité aux déploiements IPFS de Tornado Cash, c’est-à-dire dans des logiciels externes. Gas404 a prévenu que si le faux développeur avait modifié le code source, des audits auraient découvert la faille. De plus, un changement aussi profond pourrait sérieusement compromettre le mixeur.
Pour atténuer d’éventuels dommages, la communauté doit rejeter les deux fausses propositions qui contiennent le code. Par conséquent, Gas404 a recommandé aux détenteurs du jeton natif de Tornado Cash, TORN, de rejeter ces propositions.
« Cela ne compterait que pour les déploiements Tornado Cash IPFS, puisque la source minifiée est devenue un piège caché pour un escroc. Par conséquent, les personnes qui ont interagi avec le contrat en utilisant les interfaces locales sont en sécurité, car les modifications apportées aux validations peuvent être facilement auditées », a expliqué le développeur.
La chute de Tornado Cash
Tornado Cash est l’un des mélangeurs de cryptomonnaies les plus populaires au monde. En août 2022, l’Office of Foreign Assets Control (OFAC) du Département du Trésor américain a sanctionné Tornado Cash, interdisant aux particuliers, aux résidents et aux entités aux États-Unis d’effectuer des transactions financières via la plateforme.
Le département du Trésor a allégué que le mélangeur avait facilité le blanchiment de plus de 7 milliards de dollars en crypto-monnaies, dont 455 millions de dollars prétendument liés à Lazarus, un groupe de piratage informatique soutenu par le gouvernement nord-coréen.
Par la suite, le domaine du projet a été saisi et GitHub a supprimé le référentiel « Tornado Cash » et a également suspendu les comptes des développeurs, suscitant les protestations des défenseurs de la vie privée. La plate-forme appartenant à Microsoft a ensuite levé l’interdiction.
En mai dernier, un attaquant a créé une proposition trompeuse pour prendre le contrôle de l’organisation autonome décentralisée (DAO) qui gère Tornado Cash. La proposition contenait un code caché qui accordait au pirate informatique la propriété de faux jetons TORN après approbation du DAO.
Après un vote réussi, le pirate informatique a accumulé suffisamment de pouvoir de vote pour manipuler les propositions futures. À la fin du mois, le pirate informatique a apparemment abandonné le contrôle, après avoir converti une partie des jetons de gouvernance volés d’une valeur d’environ 900 000 $ en Ether (ETH).
Voir l’article original en portugais
