Seorang pengguna Ethereum dilaporkan kehilangan 1.010 ETH setelah mengikuti bookmark Tornado Cash lama yang diduga mengarahkan ke frontend berbahaya yang dikendalikan oleh penyerang phishing.
Keterangan komunitas mengatakan insiden itu terjadi selama sekitar 12 jam. Mereka menuduh bahwa penyerang mendapatkan kredensial deposit Tornado Cash korban dan menarik dana sebelum mentransfernya ke beberapa alamat.
Catatan on-chain memberikan konfirmasi sebagian. Dompet yang disebutkan menerima 810 ETH melalui sembilan transaksi pada 18 Agustus. Delapan transfer membawa masing-masing 100 ETH, sementara transfer terakhir membawa 10 ETH.
Transaksi terjadi antara pukul 5:56 pagi dan 6:05 pagi UTC. Alamat tersebut mempertahankan sekitar 810 ETH, yang nilainya oleh Etherscan sekitar $1,86 juta ketika diperiksa pada 20 Agustus.
Transaksi yang diverifikasi menyisakan selisih 200 ETH antara kerugian 1.010 ETH yang dilaporkan oleh pengguna komunitas dan 810 ETH yang dipegang oleh dompet yang disebutkan. Jumlah yang tersisa mungkin telah mencapai alamat lain, tetapi tidak ada tujuan tambahan yang disertakan dalam bukti yang diberikan.
Tidak ada pernyataan publik dari Tornado Cash, perusahaan keamanan blockchain yang mapan, atau korban yang dilaporkan yang secara independen mengonfirmasi jumlah penuh saat artikel ini disiapkan.
Keterangan komunitas mengklaim korban melacak total kerugian 1.010 Ethereum, tetapi alamat yang diberikan secara independen hanya mengonfirmasi 810 Ethereum.
Dompet yang disebutkan telah mencatat sembilan transaksi dan tidak ada transfer keluar pada saat peninjauan. Saldo tersebut oleh karena itu mendukung klaim bahwa sebagian besar dana yang dilaporkan tetap berada di bawah kendali penyerang yang dicurigai.
Pada harga Ether sekitar $2.295, 810 Ethereum yang dikonfirmasi bernilai sekitar $1,86 juta. Kerugian 1.010 Ethereum yang dilaporkan akan bernilai sekitar $2,32 juta pada harga yang sama.
Laporan menyalahkan pencurian pada domain tornado.cash, mengklaimnya kedaluwarsa setelah tim proyek gagal memperbaruinya selama gangguan yang disebabkan oleh sanksi AS. Menurut keterangan tersebut, seorang penyerang kemudian mendaftarkan alamat tersebut dan menginstal antarmuka pengguna palsu.
Keterangan itu tidak dapat diverifikasi sepenuhnya. Domain tersebut dapat diakses dan menampilkan antarmuka Tornado Cash saat diperiksa. Tidak ada catatan domain otoritatif, peringatan resmi Tornado Cash, atau peneliti keamanan yang disebutkan namanya yang ditemukan mengonfirmasi bahwa alamat tersebut telah kedaluwarsa dan berganti kepemilikan.
Oleh karena itu, klaim bahwa domain resmi diambil alih oleh penyerang tetap belum terkonfirmasi dan tidak boleh disajikan sebagai penyebab yang terbukti.
Situs web yang memuat dengan benar pada saat pemeriksaan tidak membuktikan bahwa situs tersebut aman pada waktu sebelumnya. Penyerang dapat menghapus kode berbahaya, mengarahkan ulang hanya pengunjung tertentu, atau memulihkan antarmuka yang sah setelah mengumpulkan kredensial.
Tornado Cash telah menghadapi masalah keamanan frontend sebelumnya. Pada tahun 2024, peneliti Gas404 menemukan bahwa JavaScript berbahaya telah disisipkan ke dalam antarmuka sumber terbuka dan dapat mengungkapkan catatan deposit pribadi. Checkmarx kemudian mendokumentasikan kompromi rantai pasok, meskipun saat ini tidak ada bukti yang menghubungkan insiden tersebut dengan transaksi terbaru.
Tornado Cash menggunakan catatan deposit pribadi untuk memungkinkan pengguna menarik aset dari kumpulan dananya. Siapa pun yang mendapatkan catatan yang valid umumnya dapat memulai penarikan yang sesuai, membuat catatan tersebut sebanding dengan kredensial pribadi.
Frontend palsu dapat menangkap informasi ini ketika pengguna mencoba melakukan deposit atau penarikan. Penyerang kemudian dapat menggunakan catatan yang dicuri sebelum pemilik sah melakukannya.
Serangan ini berbeda dari phishing persetujuan, di mana korban menandatangani transaksi berbahaya yang mengotorisasi kontrak penguras dana. Dalam liputan terkait, crypto.news menjelaskan bagaimana penguras dompet mengeksploitasi tanda tangan yang menipu untuk mendapatkan akses ke token dan aset nonfungible.
Bookmark lama menghadirkan risiko lain karena pengguna sering menganggap tautan yang sebelumnya dipercaya tetap aman. Domain yang kedaluwarsa atau ditransfer mempertahankan nama familiar mereka, peringkat pencarian, dan tautan balik, membuat penggantian berbahaya lebih sulit diidentifikasi.
Seperti yang baru-baru ini dilaporkan crypto.news, situs web palsu terus menguras dompet Ethereum setelah pengguna menyetujui transaksi atau memasukkan informasi sensitif. Pendekatan teraman adalah memverifikasi domain melalui beberapa saluran proyek saat ini sebelum menghubungkan dompet.
Laporan komunitas juga menuduh bahwa penyerang yang sama mencuri hampir 4.000 ETH melalui metode serupa selama 12 bulan sebelumnya. Tidak ada daftar alamat terkait atau analisis atribusi yang menyertai angka tersebut.
Tanpa dompet tertaut, hash transaksi, atau laporan dari perusahaan keamanan, estimasi 4.000 ETH tidak dapat diverifikasi secara independen. Transfer blockchain menunjukkan ke mana dana bergerak, tetapi tidak secara otomatis menetapkan siapa yang mengendalikan setiap alamat atau kampanye phishing mana yang menghasilkannya.
Prioritas utama adalah memantau 810 ETH yang dikonfirmasi. Transfer ke bursa dapat menciptakan peluang bagi platform untuk mengidentifikasi atau membekukan aset, tunduk pada prosedur dan hukum yang berlaku.
Korban harus menyimpan riwayat peramban, URL yang di-bookmark, log dompet, dan catatan transaksi sebelum melaporkan insiden tersebut ke penyedia dompet, bursa, dan penegak hukum. Pengguna yang berinteraksi dengan frontend yang sama harus berhenti menggunakannya, memindahkan aset yang tidak terpengaruh, dan mencabut persetujuan token yang mencurigakan.
Bukti yang tersedia mendukung transfer Ethereum dalam jumlah besar ke dompet yang baru aktif. Namun, itu belum membuktikan kerugian penuh 1.010 ETH, dugaan pengambilalihan domain resmi, atau kampanye 4.000 ETH yang diklaim.
