Un utilisateur Ethereum aurait perdu 1 010 ETH après avoir suivi un ancien signet Tornado Cash qui aurait redirigé vers une interface utilisateur malveillante contrôlée par des attaquants de phishing.
Les récits communautaires indiquent que l'incident s'est déroulé sur environ 12 heures. Ils affirment que les attaquants ont obtenu les identifiants de dépôt Tornado Cash de la victime et ont retiré les fonds avant de les transférer vers plusieurs adresses.
Les registres on-chain fournissent une confirmation partielle. Le portefeuille cité a reçu 810 ETH via neuf transactions le 18 août. Huit transferts portaient chacun 100 ETH, tandis que le dernier transfert portait 10 ETH.
Les transactions ont eu lieu entre 5h56 et 6h05 UTC. L'adresse a conservé environ 810 ETH, évalués par Etherscan à environ 1,86 million de dollars lors de la vérification le 20 août.
Les transactions vérifiées laissent un écart de 200 ETH entre la perte de 1 010 ETH signalée par les utilisateurs de la communauté et les 810 ETH détenus par le portefeuille cité. Le montant restant pourrait avoir atteint une autre adresse, mais aucune destination supplémentaire n'a été incluse dans les preuves fournies.
Aucune déclaration publique de Tornado Cash, d'une entreprise de sécurité blockchain établie ou de la victime présumée n'avait indépendamment confirmé le montant total au moment de la rédaction de cet article.
Les récits communautaires affirmaient que la victime avait enregistré une perte totale de 1 010 Ethereum, mais l'adresse fournie ne confirme indépendamment que 810 Ethereum.
Le portefeuille cité avait enregistré neuf transactions et aucun transfert sortant au moment de l'examen. Son solde soutient donc l'affirmation selon laquelle la plupart des fonds signalés sont restés sous le contrôle de l'attaquant présumé.
Au prix d'environ 2 295 $ l'Ether, les 810 Ethereum confirmés valaient environ 1,86 million de dollars. La perte signalée de 1 010 Ethereum vaudrait environ 2,32 millions de dollars au même prix.
Les rapports ont attribué le vol au domaine tornado.cash, affirmant qu'il avait expiré après que l'équipe du projet n'ait pas réussi à le renouveler pendant la perturbation causée par les sanctions américaines. Selon les récits, un attaquant a ensuite enregistré l'adresse et installé une fausse interface utilisateur.
Ce compte n'a pas pu être entièrement vérifié. Le domaine était accessible et affichait une interface Tornado Cash lors de la vérification. Aucun enregistrement de domaine faisant autorité, aucun avertissement officiel de Tornado Cash ni aucun chercheur en sécurité nommé n'a été trouvé confirmant que l'adresse avait expiré et changé de propriétaire.
Les affirmations selon lesquelles le domaine officiel a été capturé par un attaquant restent donc non confirmées et ne doivent pas être présentées comme une cause établie.
Un site web se chargeant correctement au moment de la vérification ne prouve pas qu'il était sûr auparavant. Les attaquants peuvent supprimer du code malveillant, rediriger uniquement certains visiteurs ou restaurer une interface légitime après avoir collecté des identifiants.
Tornado Cash a déjà rencontré des problèmes de sécurité au niveau de l'interface. En 2024, le chercheur Gas404 a découvert que du JavaScript malveillant avait été inséré dans une interface open source et pouvait exposer des notes de dépôt privées. Checkmarx a ensuite documenté la compromission de la chaîne d'approvisionnement, bien qu'aucune preuve ne relie actuellement cet épisode aux dernières transactions.
Tornado Cash utilise des notes de dépôt privées pour permettre aux utilisateurs de retirer des actifs de ses pools. Quiconque obtient une note valide peut généralement initier le retrait correspondant, ce qui rend la note comparable à un identifiant privé.
Une fausse interface utilisateur peut capturer ces informations lorsqu'un utilisateur tente d'effectuer un dépôt ou un retrait. L'attaquant peut alors utiliser la note volée avant que le propriétaire légitime ne le fasse.
L'attaque diffère du phishing d'approbation, où une victime signe une transaction malveillante qui autorise un contrat de « drainer ». Dans un article connexe, crypto.news a expliqué comment les « wallet drainers » exploitent les signatures trompeuses pour obtenir l'accès aux jetons et aux actifs non fongibles.
Les anciens signets présentent un autre risque car les utilisateurs supposent souvent que les liens précédemment fiables restent sûrs. Les domaines expirés ou transférés conservent leurs noms familiers, leurs classements de recherche et leurs liens retour, ce qui rend les remplacements malveillants plus difficiles à identifier.
Comme crypto.news l'a récemment rapporté, de faux sites web continuent de vider les portefeuilles Ethereum après que les utilisateurs approuvent des transactions ou saisissent des informations sensibles. L'approche la plus sûre est de vérifier les domaines via plusieurs canaux de projet actuels avant de connecter un portefeuille.
Les rapports communautaires ont également allégué que les mêmes attaquants avaient volé près de 4 000 ETH par des méthodes similaires au cours des 12 mois précédents. Aucune liste d'adresses connexes ni analyse d'attribution n'accompagnait ce chiffre.
Sans portefeuilles liés, hachages de transaction ou rapport d'une entreprise de sécurité, l'estimation de 4 000 ETH ne peut pas être vérifiée indépendamment. Les transferts blockchain montrent où les fonds ont été déplacés, mais ils n'établissent pas automatiquement qui contrôlait chaque adresse ni quelle campagne de phishing les a générés.
La priorité immédiate est de surveiller les 810 ETH confirmés. Les transferts vers des plateformes d'échange pourraient offrir l'occasion aux plateformes d'identifier ou de geler les actifs, sous réserve de leurs procédures et des lois applicables.
La victime devrait conserver son historique de navigation, ses URL mises en favoris, les journaux de son portefeuille et les enregistrements de transactions avant de signaler l'incident aux fournisseurs de portefeuilles, aux plateformes d'échange et aux forces de l'ordre. Les utilisateurs qui ont interagi avec la même interface utilisateur devraient cesser de l'utiliser, déplacer les actifs non affectés et révoquer les approbations de jetons suspectes.
Les preuves disponibles soutiennent un important transfert d'Ethereum vers un portefeuille nouvellement actif. Elles ne prouvent pas encore la perte totale de 1 010 ETH, la prétendue prise de contrôle du domaine officiel ou la campagne revendiquée de 4 000 ETH.
