Exploit no Tornado Cash

[sabotag3x]

Não sei se alguém de vocês usa o Tornado Cash, mas ta rolando um boato de que depósitos estão comprometidos.. então melhor ficar atento

If you have deposited to Tornado Cash using IPFS gateways ( like ipfs.io, cf-ipfs.com, eth.link ), your note would likely be exposed and the deposited funds are at risk.

Fonte: https://www.coindesk.com/business/2024/02/26/tornado-cash-reportedly-suffers-backend-exploit-user-deposits-at-risk/
Fonte da fonte: https://gas404.medium.com/tornado-cash-notes-exploit-from-jan-1st-and-the-actions-you-must-take-6076748bc886

[TryNinja]

Interessante.

Detalhe que exploit não é no Tornado Cash, e sim em um mirror (uma versão da interface bem conhecda) que foi modificada para enviar a private note a um terceiro. Mesma coisa de baixar um electrum falso e falar que tem um exploit na carteira.

E isso acontece pois o site oficial do TC foi derrubado há muito tempo pelas autoridades norte-americanas, então o pessoal tem que lançar o seu próprio front end ou usar um terceiro, ai vai de confiabilidade.

[l3pox]

O frontend foi derrubado mas os contratos inteligentes não tem como derrubar né?
Se alguém quisesse conseguiria continua mixando seus fundos interagindo direto com os contratos?

Vou abrir pra dar uma olhada depois

[TryNinja]

O frontend foi derrubado mas os contratos inteligentes não tem como derrubar né?
Se alguém quisesse conseguiria continua mixando seus fundos interagindo direto com os contratos?

Vou abrir pra dar uma olhada depois

Sim, o mixer segue funcionando. Lembro que um dia um usuário apareceu aqui no fórum querendo ajuda com uma nota que ele tinha no Tornado. Achei o source do front end e corrigi o problema dele, aí ele conseguiu sacar.

https://bitcointalk.org/index.php?topic=5412746.msg60901003#msg60901003

[joker_josue]

O frontend foi derrubado mas os contratos inteligentes não tem como derrubar né?
Se alguém quisesse conseguiria continua mixando seus fundos interagindo direto com os contratos?

Vou abrir pra dar uma olhada depois

Então isso quer dizer que se duas ou mais pessoas tiver guardado a informação de um smart contract, é continuar a enviar dinheiro para ele, essas pessoas vão conseguir mixar as suas moedas?

Isso quer dizer que que na prática esse mix continua a funcionar...

[l3pox]

O frontend foi derrubado mas os contratos inteligentes não tem como derrubar né?
Se alguém quisesse conseguiria continua mixando seus fundos interagindo direto com os contratos?

Vou abrir pra dar uma olhada depois

Então isso quer dizer que se duas ou mais pessoas tiver guardado a informação de um smart contract, é continuar a enviar dinheiro para ele, essas pessoas vão conseguir mixar as suas moedas?

Isso quer dizer que que na prática esse mix continua a funcionar...

Essa é a beleza de construir aplicações imparáveis.
Nesse caso específico o problema é que se o contrato não tiver usuarios suficiente não servirá mais como mixer. Mas isso é especifico desse caso. Se não for um contrato upgradable não dá nem pra apagá-lo ou mudá-lo