एक एथेरियम उपयोगकर्ता ने कथित तौर पर एक पुराने टोरनाडो कैश बुकमार्क का अनुसरण करने के बाद 1,010 ETH खो दिए, जो कथित तौर पर फ़िशिंग हमलावरों द्वारा नियंत्रित एक दुर्भावनापूर्ण फ्रंटएंड पर पुनर्निर्देशित हो गया था।

सामुदायिक रिपोर्टों के अनुसार, यह घटना लगभग 12 घंटे तक चली। उन्होंने आरोप लगाया कि हमलावरों ने पीड़ित के टोरनाडो कैश जमा क्रेडेंशियल प्राप्त किए और उन्हें कई पतों पर स्थानांतरित करने से पहले धन निकाल लिया।

ऑनचेन रिकॉर्ड आंशिक पुष्टि प्रदान करते हैं। उद्धृत वॉलेट को 18 अगस्त को नौ लेनदेन के माध्यम से 810 ETH प्राप्त हुए। आठ हस्तांतरणों में से प्रत्येक में 100 ETH थे, जबकि अंतिम हस्तांतरण में 10 ETH थे।

लेनदेन यूटीसी समय के अनुसार सुबह 5:56 बजे से सुबह 6:05 बजे के बीच हुए। 20 अगस्त को जांचे जाने पर पते पर लगभग 810 ETH बरकरार रहे, जिसका मूल्य एथरस्कैन द्वारा लगभग 1.86 मिलियन डॉलर आंका गया था।

एथेरियम रिकॉर्ड 810 ETH की पुष्टि करते हैं, पूरे दावे की नहीं

सत्यापित लेनदेन सामुदायिक उपयोगकर्ताओं द्वारा रिपोर्ट किए गए 1,010 ETH के नुकसान और उद्धृत वॉलेट द्वारा रखे गए 810 ETH के बीच 200 ETH का अंतर छोड़ते हैं। शेष राशि किसी अन्य पते पर पहुंच गई होगी, लेकिन दिए गए सबूतों में कोई अतिरिक्त गंतव्य शामिल नहीं था।

जब यह लेख तैयार किया गया था तब टोरनाडो कैश, किसी स्थापित ब्लॉकचेन सुरक्षा फर्म या रिपोर्ट किए गए पीड़ित की ओर से कोई सार्वजनिक बयान नहीं आया था जिसने पूरी राशि की स्वतंत्र रूप से पुष्टि की हो।

सामुदायिक रिपोर्टों में दावा किया गया कि पीड़ित को कुल 1,010 एथेरियम का नुकसान हुआ, लेकिन प्रदान किया गया पता स्वतंत्र रूप से केवल 810 एथेरियम की पुष्टि करता है।

समीक्षा के समय उद्धृत वॉलेट में नौ लेनदेन दर्ज थे और कोई भी बहिर्गमन हस्तांतरण नहीं हुआ था। इसलिए इसका शेष यह दावा करता है कि रिपोर्ट किए गए अधिकांश धन संदिग्ध हमलावर के नियंत्रण में रहे।

एथर के लगभग 2,295 डॉलर के मूल्य पर, पुष्टि किए गए 810 एथेरियम का मूल्य लगभग 1.86 मिलियन डॉलर था। उसी मूल्य पर रिपोर्ट किए गए 1,010 एथेरियम का नुकसान लगभग 2.32 मिलियन डॉलर का होगा।

टोरनाडो कैश डोमेन पर कब्ज़ा अप्रमाणित बना हुआ है

रिपोर्टों ने चोरी के लिए tornado.cash डोमेन को जिम्मेदार ठहराया, जिसमें दावा किया गया कि अमेरिकी प्रतिबंधों के कारण हुए व्यवधान के दौरान परियोजना टीम द्वारा इसे नवीनीकृत करने में विफल रहने के बाद यह समाप्त हो गया था। रिपोर्टों के अनुसार, एक हमलावर ने बाद में पता पंजीकृत किया और एक नकली उपयोगकर्ता इंटरफ़ेस स्थापित किया।

उस दावे को पूरी तरह से सत्यापित नहीं किया जा सका। जांचे जाने पर डोमेन पहुंच योग्य था और एक टोरनाडो कैश इंटरफ़ेस प्रदर्शित कर रहा था। कोई आधिकारिक डोमेन रिकॉर्ड, आधिकारिक टोरनाडो कैश चेतावनी या नामित सुरक्षा शोधकर्ता नहीं मिला जिसने इस बात की पुष्टि की हो कि पता समाप्त हो गया था और स्वामित्व बदल गया था।

इसलिए, आधिकारिक डोमेन पर एक हमलावर द्वारा कब्जा किए जाने के दावे अप्रमाणित रहते हैं और उन्हें एक स्थापित कारण के रूप में प्रस्तुत नहीं किया जाना चाहिए।

जांच के समय एक वेबसाइट का सही ढंग से लोड होना यह साबित नहीं करता है कि वह पहले सुरक्षित थी। हमलावर दुर्भावनापूर्ण कोड हटा सकते हैं, केवल चुनिंदा आगंतुकों को पुनर्निर्देशित कर सकते हैं या क्रेडेंशियल एकत्र करने के बाद एक वैध इंटरफ़ेस को बहाल कर सकते हैं।

टोरनाडो कैश को पहले भी फ्रंटएंड सुरक्षा समस्याओं का सामना करना पड़ा है। 2024 में, शोधकर्ता Gas404 ने पाया कि एक ओपन सोर्स इंटरफ़ेस में दुर्भावनापूर्ण जावास्क्रिप्ट डाला गया था और वह निजी जमा नोट्स को उजागर कर सकता था। चेकमार्क्स ने बाद में आपूर्ति श्रृंखला समझौता का दस्तावेजीकरण किया, हालांकि वर्तमान में कोई भी सबूत उस घटना को नवीनतम लेनदेन से नहीं जोड़ता है।

जमा नोट्स हमलावरों को धन पर नियंत्रण दे सकते हैं

टोरनाडो कैश अपने पूलों से उपयोगकर्ताओं को संपत्ति निकालने देने के लिए निजी जमा नोट्स का उपयोग करता है। कोई भी व्यक्ति जो एक वैध नोट प्राप्त करता है, वह आमतौर पर संबंधित निकासी शुरू कर सकता है, जिससे नोट एक निजी क्रेडेंशियल के समान हो जाता है।

एक नकली फ्रंटएंड इस जानकारी को तब कैप्चर कर सकता है जब कोई उपयोगकर्ता जमा या निकासी करने का प्रयास करता है। हमलावर तब वैध मालिक के ऐसा करने से पहले चुराए गए नोट का उपयोग कर सकता है।

यह हमला अनुमोदन फ़िशिंग से अलग है, जहां एक पीड़ित एक दुर्भावनापूर्ण लेनदेन पर हस्ताक्षर करता है जो एक ड्रेनर अनुबंध को अधिकृत करता है। संबंधित कवरेज में, crypto.news ने बताया कि कैसे वॉलेट ड्रेनर्स टोकन और अपूरणीय संपत्तियों तक पहुंच प्राप्त करने के लिए धोखेबाज हस्ताक्षरों का फायदा उठाते हैं।

पुराने बुकमार्क एक और जोखिम प्रस्तुत करते हैं क्योंकि उपयोगकर्ता अक्सर यह मान लेते हैं कि पहले विश्वसनीय लिंक सुरक्षित रहते हैं। समाप्त या स्थानांतरित किए गए डोमेन अपने परिचित नाम, खोज रैंकिंग और बैकलिंक को बनाए रखते हैं, जिससे दुर्भावनापूर्ण प्रतिस्थापनों की पहचान करना कठिन हो जाता है।

जैसा कि crypto.news ने हाल ही में बताया, उपयोगकर्ता लेनदेन को मंजूरी देने या संवेदनशील जानकारी दर्ज करने के बाद नकली वेबसाइटें एथेरियम वॉलेट को खाली करना जारी रखती हैं। सबसे सुरक्षित तरीका है कि वॉलेट को जोड़ने से पहले कई मौजूदा प्रोजेक्ट चैनलों के माध्यम से डोमेन को सत्यापित किया जाए।

लगभग 4,000 ETH के दावे के लिए और सबूतों की आवश्यकता है

सामुदायिक रिपोर्टों में यह भी आरोप लगाया गया कि उन्हीं हमलावरों ने पिछले 12 महीनों में इसी तरह के तरीकों से लगभग 4,000 ETH चुराए। उस आंकड़े के साथ संबंधित पतों की कोई सूची या एट्रिब्यूशन विश्लेषण नहीं था।

लिंक किए गए वॉलेट, लेनदेन हैश या किसी सुरक्षा फर्म की रिपोर्ट के बिना, 4,000 ETH का अनुमान स्वतंत्र रूप से सत्यापित नहीं किया जा सकता है। ब्लॉकचेन हस्तांतरण दिखाते हैं कि धन कहाँ चला गया, लेकिन वे स्वचालित रूप से यह स्थापित नहीं करते हैं कि प्रत्येक पते को किसने नियंत्रित किया या किस फ़िशिंग अभियान ने उन्हें उत्पन्न किया।

तत्काल प्राथमिकता पुष्टि किए गए 810 ETH की निगरानी करना है। एक्सचेंजों में हस्तांतरण प्लेटफार्मों के लिए संपत्ति की पहचान करने या फ्रीज करने का अवसर पैदा कर सकता है, जो उनकी प्रक्रियाओं और लागू कानून के अधीन है।

पीड़ित को ब्राउज़र इतिहास, बुकमार्क किए गए URL, वॉलेट लॉग और लेनदेन रिकॉर्ड को वॉलेट प्रदाताओं, एक्सचेंजों और कानून प्रवर्तन को घटना की रिपोर्ट करने से पहले संरक्षित करना चाहिए। जिन उपयोगकर्ताओं ने उसी फ्रंटएंड के साथ बातचीत की थी, उन्हें इसका उपयोग करना बंद कर देना चाहिए, अप्रभावित संपत्तियों को स्थानांतरित करना चाहिए और संदिग्ध टोकन अनुमतियों को रद्द करना चाहिए।

उपलब्ध साक्ष्य एक नए सक्रिय वॉलेट में एक बड़े एथेरियम हस्तांतरण का समर्थन करते हैं। यह अभी तक पूरे 1,010 ETH के नुकसान, आधिकारिक डोमेन पर कथित कब्जे या दावा किए गए 4,000 ETH अभियान को साबित नहीं करता है।