Користувач Ethereum, за повідомленнями, втратив 1 010 ETH після переходу за старою закладкою Tornado Cash, яка нібито перенаправила його на шкідливий інтерфейс (frontend), контрольований фішинговими зловмисниками.
За даними спільноти, інцидент розгортався протягом приблизно 12 годин. Вони стверджують, що зловмисники отримали облікові дані для депозиту Tornado Cash жертви та вивели кошти, перш ніж перевести їх на кілька адрес.
Ончейн-записи частково підтверджують це. Згаданий гаманець отримав 810 ETH через дев'ять транзакцій 18 серпня. Вісім переказів були по 100 ETH кожен, тоді як останній переказ складав 10 ETH.
Транзакції відбулися між 5:56 ранку та 6:05 ранку за UTC. На адресі залишилося приблизно 810 ETH, які Etherscan оцінив приблизно в 1,86 мільйона доларів США під час перевірки 20 серпня.
Перевірені транзакції виявляють розбіжність у 200 ETH між втратою 1 010 ETH, про яку повідомили користувачі спільноти, та 810 ETH, що зберігаються на згаданому гаманці. Залишкова сума могла потрапити на іншу адресу, але додаткового призначення в наданих доказах не було.
Жодної публічної заяви від Tornado Cash, відомої компанії з блокчейн-безпеки чи постраждалої особи, яка б незалежно підтвердила повну суму, не було на момент підготовки цієї статті.
За даними спільноти, жертва відстежувала загальну втрату 1 010 Ethereum, але надана адреса незалежно підтверджує лише 810 Ethereum.
Згаданий гаманець зафіксував дев'ять транзакцій і жодного вихідного переказу на момент перевірки. Його баланс, таким чином, підтверджує твердження, що більшість заявлених коштів залишалися під контролем ймовірного зловмисника.
За ціною Ether приблизно 2 295 доларів США, підтверджені 810 Ethereum коштували близько 1,86 мільйона доларів. Заявлена втрата 1 010 Ethereum коштувала б приблизно 2,32 мільйона доларів за тією ж ціною.
Звіти звинувачували у крадіжці домен tornado.cash, стверджуючи, що термін його дії закінчився після того, як команда проекту не змогла його продовжити під час збоїв, спричинених санкціями США. За словами свідків, зловмисник згодом зареєстрував адресу та встановив фальшивий користувацький інтерфейс.
Цей рахунок не міг бути повністю перевірений. Домен був доступний і відображав інтерфейс Tornado Cash під час перевірки. Жодного авторитетного запису домену, офіційного попередження Tornado Cash або названого дослідника безпеки не було знайдено, що підтверджувало б закінчення терміну дії адреси та зміну власника.
Таким чином, твердження про захоплення офіційного домену зловмисником залишаються непідтвердженими і не повинні подаватися як встановлена причина.
Вебсайт, який коректно завантажується під час перевірки, не доводить, що він був безпечним раніше. Зловмисники можуть видаляти шкідливий код, перенаправляти лише обраних відвідувачів або відновлювати легітимний інтерфейс після збору облікових даних.
Tornado Cash раніше стикався з проблемами безпеки інтерфейсу. У 2024 році дослідник Gas404 виявив, що шкідливий JavaScript був вставлений у інтерфейс з відкритим вихідним кодом і міг розкривати приватні нотатки про депозити. Checkmarx пізніше задокументував компрометацію ланцюга поставок, хоча наразі немає доказів, які б пов'язували цей епізод з останніми транзакціями.
Tornado Cash використовує приватні депозитні нотатки, щоб дозволити користувачам виводити активи зі своїх пулів. Будь-хто, хто отримає дійсну нотатку, може, як правило, ініціювати відповідне виведення, роблячи нотатку схожою на приватний обліковий запис.
Підроблений інтерфейс може захопити цю інформацію, коли користувач намагається зробити депозит або виведення. Зловмисник може потім використати вкрадену нотатку раніше, ніж це зробить законний власник.
Ця атака відрізняється від фішингу за допомогою схвалення (approval phishing), де жертва підписує шкідливу транзакцію, що авторизує контракт-дрейнер. У пов'язаному матеріалі crypto.news пояснило, як дрейнери гаманців використовують оманливі підписи для отримання доступу до токенів та невзаємозамінних активів.
Старі закладки становлять ще один ризик, оскільки користувачі часто вважають, що раніше довірені посилання залишаються безпечними. Термін дії яких закінчився або передані домени зберігають свої знайомі назви, рейтинги в пошукових системах та зворотні посилання, що ускладнює ідентифікацію шкідливих замін.
Як нещодавно повідомляв crypto.news, фальшиві вебсайти продовжують спустошувати гаманці Ethereum після того, як користувачі схвалюють транзакції або вводять конфіденційну інформацію. Найбезпечніший підхід – це перевіряти домени через кілька поточних каналів проекту, перш ніж підключати гаманець.
Повідомлення спільноти також стверджували, що ті ж зловмисники викрали майже 4 000 ETH подібними методами протягом попередніх 12 місяців. Жодного списку пов'язаних адрес або аналізу атрибуції не супроводжувало цю цифру.
Без пов'язаних гаманців, хешів транзакцій або звіту від компанії з безпеки, оцінка в 4 000 ETH не може бути незалежно перевірена. Блокчейн-перекази показують, куди перемістилися кошти, але вони не автоматично встановлюють, хто контролював кожну адресу або яка фішингова кампанія їх згенерувала.
Безпосереднім пріоритетом є моніторинг підтверджених 810 ETH. Перекази на біржі можуть створити можливість для платформ ідентифікувати або заморозити активи, відповідно до їхніх процедур та чинного законодавства.
Жертва повинна зберегти історію браузера, URL-адреси закладок, журнали гаманця та записи транзакцій, перш ніж повідомляти про інцидент постачальникам гаманців, біржам та правоохоронним органам. Користувачі, які взаємодіяли з тим самим інтерфейсом, повинні припинити його використання, перемістити незачеплені активи та відкликати підозрілі дозволи на токени.
Наявні докази підтверджують великий переказ Ethereum на новоактивний гаманець. Проте вони ще не доводять повну втрату 1 010 ETH, ймовірне захоплення офіційного домену або заявлену кампанію на 4 000 ETH.
ETH
