Según se informa, un usuario de Ethereum perdió 1,010 ETH después de seguir un antiguo marcador de Tornado Cash que supuestamente lo redirigió a un frontend malicioso controlado por atacantes de phishing.
Los relatos de la comunidad indican que el incidente se desarrolló durante aproximadamente 12 horas. Alegaron que los atacantes obtuvieron las credenciales de depósito de Tornado Cash de la víctima y retiraron los fondos antes de transferirlos a varias direcciones.
Los registros en cadena proporcionan una confirmación parcial. La billetera citada recibió 810 ETH a través de nueve transacciones el 18 de agosto. Ocho transferencias fueron de 100 ETH cada una, mientras que la transferencia final fue de 10 ETH.
Las transacciones ocurrieron entre las 5:56 a.m. y las 6:05 a.m. UTC. La dirección retuvo aproximadamente 810 ETH, valorados por Etherscan en alrededor de $1.86 millones cuando se verificó el 20 de agosto.
Las transacciones verificadas dejan una brecha de 200 ETH entre la pérdida de 1,010 ETH reportada por los usuarios de la comunidad y los 810 ETH retenidos por la billetera citada. La cantidad restante puede haber llegado a otra dirección, pero no se incluyó ningún destino adicional en la evidencia suministrada.
Ninguna declaración pública de Tornado Cash, de una empresa de seguridad blockchain establecida o de la víctima reportada había confirmado independientemente la cantidad total cuando se preparó este artículo.
Los relatos de la comunidad afirmaron que la víctima rastreó una pérdida total de 1,010 Ethereum, pero la dirección proporcionada confirma independientemente solo 810 Ethereum.
La billetera citada había registrado nueve transacciones y ninguna transferencia saliente al momento de la revisión. Su saldo, por lo tanto, respalda la afirmación de que la mayoría de los fondos reportados permanecieron bajo el control del presunto atacante.
Al precio de Ether de aproximadamente $2,295, los 810 Ethereum confirmados tenían un valor de alrededor de $1.86 millones. La pérdida reportada de 1,010 Ethereum tendría un valor aproximado de $2.32 millones al mismo precio.
Los informes atribuyeron el robo al dominio tornado.cash, alegando que expiró después de que el equipo del proyecto no lo renovara durante la interrupción causada por las sanciones de EE. UU. Según los relatos, un atacante registró posteriormente la dirección e instaló una interfaz de usuario falsa.
Esa versión no pudo verificarse completamente. El dominio era accesible y mostraba una interfaz de Tornado Cash cuando se verificó. No se encontró ningún registro de dominio autorizado, advertencia oficial de Tornado Cash o investigador de seguridad nombrado que confirmara que la dirección había expirado y cambiado de propietario.
Las afirmaciones de que el dominio oficial fue capturado por un atacante, por lo tanto, siguen sin confirmarse y no deben presentarse como una causa establecida.
Que un sitio web cargue correctamente en el momento de la verificación no prueba que fuera seguro en un momento anterior. Los atacantes pueden eliminar código malicioso, redirigir solo a visitantes seleccionados o restaurar una interfaz legítima después de recopilar credenciales.
Tornado Cash ha enfrentado problemas de seguridad de frontend anteriores. En 2024, el investigador Gas404 descubrió que se había insertado JavaScript malicioso en una interfaz de código abierto y podría exponer notas de depósito privadas. Checkmarx documentó posteriormente el compromiso de la cadena de suministro, aunque actualmente no hay evidencia que conecte ese episodio con las últimas transacciones.
Tornado Cash utiliza notas de depósito privadas para permitir a los usuarios retirar activos de sus pools. Cualquiera que obtenga una nota válida generalmente puede iniciar el retiro correspondiente, lo que hace que la nota sea comparable a una credencial privada.
Un frontend falso puede capturar esta información cuando un usuario intenta hacer un depósito o un retiro. El atacante puede entonces usar la nota robada antes de que lo haga el propietario legítimo.
El ataque difiere del phishing de aprobación, donde una víctima firma una transacción maliciosa que autoriza un contrato drenador. En una cobertura relacionada, crypto.news explicó cómo los drenadores de billeteras explotan firmas engañosas para obtener acceso a tokens y activos no fungibles.
Los marcadores antiguos presentan otro riesgo porque los usuarios a menudo asumen que los enlaces previamente confiables siguen siendo seguros. Los dominios caducados o transferidos conservan sus nombres familiares, clasificaciones de búsqueda y backlinks, lo que dificulta la identificación de reemplazos maliciosos.
Como informó recientemente crypto.news, los sitios web falsos continúan vaciando billeteras de Ethereum después de que los usuarios aprueban transacciones o ingresan información confidencial. El enfoque más seguro es verificar los dominios a través de varios canales actuales del proyecto antes de conectar una billetera.
Los informes de la comunidad también alegaron que los mismos atacantes robaron casi 4,000 ETH a través de métodos similares durante los 12 meses anteriores. Ninguna lista de direcciones relacionadas o análisis de atribución acompañó esa cifra.
Sin billeteras vinculadas, hashes de transacción o un informe de una empresa de seguridad, la estimación de 4,000 ETH no puede verificarse de forma independiente. Las transferencias de blockchain muestran dónde se movieron los fondos, pero no establecen automáticamente quién controlaba cada dirección o qué campaña de phishing las generó.
La prioridad inmediata es monitorear los 810 ETH confirmados. Las transferencias a exchanges podrían crear una oportunidad para que las plataformas identifiquen o congelen activos, sujetos a sus procedimientos y la ley aplicable.
La víctima debe preservar el historial del navegador, las URL marcadas, los registros de la billetera y los registros de transacciones antes de informar el incidente a los proveedores de billeteras, exchanges y las fuerzas del orden. Los usuarios que interactuaron con el mismo frontend deben dejar de usarlo, mover los activos no afectados y revocar las aprobaciones de tokens sospechosas.
La evidencia disponible respalda una gran transferencia de Ethereum a una billetera recién activa. Todavía no prueba la pérdida total de 1,010 ETH, la supuesta toma del dominio oficial o la campaña de 4,000 ETH reclamada.
