Isang user ng Ethereum ang naiulat na nawalan ng 1,010 ETH matapos sundan ang isang lumang bookmark ng Tornado Cash na umano'y nag-redirect sa isang malisyosong frontend na kontrolado ng mga phishing attacker.

Sinabi ng mga account ng komunidad na nangyari ang insidente sa loob ng humigit-kumulang 12 oras. Inakusahan nila na nakuha ng mga attacker ang mga kredensyal ng deposito ng Tornado Cash ng biktima at winithdraw ang mga pondo bago ilipat ang mga ito sa ilang address.

Ang mga onchain record ay nagbibigay ng bahagyang kumpirmasyon. Ang binanggit na wallet ay nakatanggap ng 810 ETH sa pamamagitan ng siyam na transaksyon noong Agosto 18. Walong paglilipat ang may dalang 100 ETH bawat isa, habang ang huling paglilipat ay may dalang 10 ETH.

Nangyari ang mga transaksyon sa pagitan ng 5:56 a.m. at 6:05 a.m. UTC. Ang address ay nagpanatili ng humigit-kumulang 810 ETH, na tinatayang ng Etherscan sa humigit-kumulang $1.86 milyon nang suriin noong Agosto 20.

Kinumpirma ng mga record ng Ethereum ang 810 ETH, hindi ang buong pahayag

Ang mga naberipikang transaksyon ay nag-iiwan ng 200 ETH na agwat sa pagitan ng 1,010 ETH na pagkalugi na iniulat ng mga user ng komunidad at ng 810 ETH na hawak ng binanggit na wallet. Ang natitirang halaga ay maaaring nakarating na sa ibang address, ngunit walang karagdagang destinasyon ang kasama sa ibinigay na ebidensya.

Walang pampublikong pahayag mula sa Tornado Cash, isang itinatag na kumpanya ng seguridad ng blockchain o ang naiulat na biktima ang independiyenteng nakumpirma ang buong halaga nang ihanda ang artikulong ito.

Inangkin ng mga account ng komunidad na sinubaybayan ng biktima ang kabuuang pagkalugi na 1,010 Ethereum, ngunit ang ibinigay na address ay independiyenteng kinukumpirma lamang ang 810 Ethereum.

Naitala ng binanggit na wallet ang siyam na transaksyon at walang outgoing transfer sa oras ng pagsusuri. Kaya sinusuportahan ng balanse nito ang pahayag na ang karamihan sa mga naiulat na pondo ay nanatili sa ilalim ng kontrol ng pinaghihinalaang attacker.

Sa presyo ng Ether na humigit-kumulang $2,295, ang nakumpirmang 810 Ethereum ay nagkakahalaga ng humigit-kumulang $1.86 milyon. Ang naiulat na 1,010 Ethereum na pagkalugi ay nagkakahalaga ng humigit-kumulang $2.32 milyon sa parehong presyo.

Pananatili ng pagkuha ng domain ng Tornado Cash na hindi kumpirmado

Sinisisi ng mga ulat ang pagnanakaw sa tornado.cash domain, na sinasabing nag-expire ito matapos mabigo ang team ng proyekto na i-renew ito sa panahon ng pagkagambala na dulot ng mga parusa ng U.S. Ayon sa mga account, isang attacker ang sumunod na nagrehistro ng address at nag-install ng isang pekeng user interface.

Hindi lubusang naberipika ang account na iyon. Ang domain ay accessible at nagpakita ng interface ng Tornado Cash nang suriin. Walang awtoritatibong record ng domain, opisyal na babala ng Tornado Cash o pinangalanang security researcher ang natagpuan na nagkukumpirma na nag-expire na ang address at nagbago ng pagmamay-ari.

Ang mga pahayag na ang opisyal na domain ay nakuha ng isang attacker ay nananatiling hindi kumpirmado at hindi dapat iharap bilang isang itinatag na sanhi.

Ang isang website na naglo-load nang tama sa oras ng pagsusuri ay hindi nagpapatunay na ito ay ligtas sa mas maagang oras. Maaaring tanggalin ng mga attacker ang malisyosong code, i-redirect lamang ang mga piling bisita o ibalik ang isang lehitimong interface pagkatapos mangolekta ng mga kredensyal.

Hinarap na ng Tornado Cash ang mga nakaraang problema sa seguridad ng frontend. Noong 2024, natuklasan ng mananaliksik na si Gas404 na ang malisyosong JavaScript ay naipasok sa isang open source interface at maaaring ilantad ang mga pribadong tala ng deposito. Idinokumento kalaunan ng Checkmarx ang supply chain compromise, bagaman walang ebidensya sa kasalukuyan ang nag-uugnay sa pangyayaring iyon sa pinakabagong mga transaksyon.

Ang mga tala ng deposito ay maaaring magbigay sa mga attacker ng kontrol sa mga pondo

Gumagamit ang Tornado Cash ng mga pribadong tala ng deposito upang payagan ang mga user na mag-withdraw ng mga asset mula sa mga pool nito. Sinumang makakuha ng balidong tala ay karaniwang maaaring simulan ang kaukulang withdrawal, na ginagawang maihahambing ang tala sa isang pribadong kredensyal.

Maaaring makuha ng isang pekeng frontend ang impormasyong ito kapag sinubukan ng isang user na magdeposito o mag-withdraw. Maaari pagkatapos gamitin ng attacker ang ninakaw na tala bago pa man magawa ng lehitimong may-ari.

Iba ang atake sa approval phishing, kung saan ang isang biktima ay pumirma sa isang malisyosong transaksyon na nagpapahintulot sa isang drainer contract. Sa kaugnay na coverage, ipinaliwanag ng crypto.news kung paano sinasamantala ng mga wallet drainer ang mapanlinlang na mga pirma upang makakuha ng access sa mga token at non-fungible asset.

Ang mga lumang bookmark ay nagdudulot ng isa pang panganib dahil kadalasang ipinapalagay ng mga user na ang mga dating pinagkakatiwalaang link ay nananatiling ligtas. Pinapanatili ng mga expired o nailipat na domain ang kanilang pamilyar na mga pangalan, search ranking at backlinks, na nagpapahirap sa pagtukoy ng mga malisyosong kapalit.

Tulad ng iniulat kamakailan ng crypto.news, patuloy na dinidiligan ng mga pekeng website ang mga wallet ng Ethereum matapos aprubahan ng mga user ang mga transaksyon o magpasok ng sensitibong impormasyon. Ang pinakaligtas na paraan ay i-verify ang mga domain sa pamamagitan ng ilang kasalukuyang channel ng proyekto bago ikonekta ang isang wallet.

Ang pahayag na halos 4,000 ETH ay nangangailangan ng mas maraming ebidensya

Inakusahan din ng mga ulat ng komunidad na ninakaw ng parehong mga attacker ang halos 4,000 ETH sa pamamagitan ng katulad na mga pamamaraan sa nakaraang 12 buwan. Walang listahan ng mga kaugnay na address o pagsusuri ng attribution ang kasama sa pigura na iyon.

Kung walang nakalink na mga wallet, transaction hashes o ulat mula sa isang security firm, ang pagtatantya na 4,000 ETH ay hindi maaaring independiyenteng beripikahin. Ipinapakita ng mga blockchain transfer kung saan lumipat ang mga pondo, ngunit hindi nila awtomatikong itinatatag kung sino ang kumontrol sa bawat address o kung aling phishing campaign ang bumuo sa mga ito.

Ang agarang priyoridad ay ang pagsubaybay sa nakumpirmang 810 ETH. Ang mga paglilipat sa mga exchange ay maaaring lumikha ng pagkakataon para sa mga platform na matukoy o i-freeze ang mga asset, alinsunod sa kanilang mga pamamaraan at naaangkop na batas.

Dapat panatilihin ng biktima ang history ng browser, mga bookmarked URL, log ng wallet at transaction record bago iulat ang insidente sa mga provider ng wallet, exchange at tagapagpatupad ng batas. Ang mga user na nakipag-ugnayan sa parehong frontend ay dapat huminto sa paggamit nito, ilipat ang mga hindi apektadong asset at bawiin ang mga kahina-hinalang pag-apruba ng token.

Ang magagamit na ebidensya ay sumusuporta sa isang malaking transfer ng Ethereum sa isang bagong aktibong wallet. Hindi pa nito pinapatunayan ang buong 1,010 ETH na pagkalugi, ang diumano'y pagkuha ng opisyal na domain o ang inaangkin na 4,000 ETH campaign.