Vorfall mit Ethereum-Nutzer und Tornado Cash
Ein Ethereum-Nutzer hat Berichten zufolge 1.010 ETH verloren, nachdem er einem veralteten Lesezeichen von Tornado Cash gefolgt war, das ihn auf ein bösartiges Frontend umleitete, das von Phishing-Angreifern kontrolliert wird. Community-Accounts berichteten, dass sich der Vorfall über einen Zeitraum von etwa 12 Stunden entfaltete.
Details des Angriffs
Die Angreifer erlangten die Einzahlungsdaten des Opfers für Tornado Cash und hoben die Gelder ab, bevor sie diese an mehrere Adressen transferierten. Onchain-Daten liefern teilweise Bestätigung für diese Behauptungen. Die angegebene Wallet erhielt am 18. August 810 ETH durch neun Transaktionen. Acht Überweisungen betrugen jeweils 100 ETH, während die letzte Überweisung 10 ETH betrug. Die Transaktionen fanden zwischen 5:56 Uhr und 6:05 Uhr UTC statt.
Die Adresse behielt etwa 810 ETH, die von Etherscan am 20. August auf etwa 1,86 Millionen Dollar geschätzt wurden. Die verifizierten Transaktionen hinterlassen eine Diskrepanz von 200 ETH zwischen dem gemeldeten Verlust von 1.010 ETH durch Community-Nutzer und den 810 ETH, die von der angegebenen Wallet gehalten werden.
Phishing-Angriff und Domain-Problematik
Nutzer verloren über 1.000 ETH bei einem Phishing-Angriff, nachdem sie die abgelaufene offizielle Domain von Tornado Cash verwendet hatten.
Laut Community-Nutzern klickte das Opfer auf einen alten Link, der in einem verwandten Lesezeichen hinterlassen wurde, und wurde über die abgelaufene offizielle Domain tornado.cash auf eine Phishing-Seite umgeleitet. Zum Zeitpunkt der Erstellung dieses Artikels gab es keine öffentliche Erklärung von Tornado Cash, einer etablierten Blockchain-Sicherheitsfirma oder dem gemeldeten Opfer, die den vollen Betrag unabhängig bestätigten.
Unbestätigte Behauptungen und Sicherheitsrisiken
Community-Accounts behaupteten, das Opfer habe einen Gesamtschaden von 1.010 Ethereum erlitten, jedoch bestätigt die angegebene Adresse unabhängig nur 810 Ethereum. Die Wallet hatte zum Zeitpunkt der Überprüfung neun Transaktionen aufgezeichnet und keine ausgehenden Überweisungen. Ihr Guthaben unterstützt daher die Behauptung, dass die meisten der gemeldeten Gelder unter der Kontrolle des verdächtigen Angreifers blieben.
Berichte machten den Diebstahl für die Domain tornado.cash verantwortlich und behaupteten, sie sei abgelaufen, nachdem das Team des Projekts versäumt hatte, sie während der durch US-Sanktionen verursachten Störung zu erneuern. Laut den Berichten registrierte ein Angreifer anschließend die Adresse und installierte eine gefälschte Benutzeroberfläche. Dieses Konto konnte jedoch nicht vollständig verifiziert werden.
Frühere Sicherheitsprobleme und Angriffsarten
Tornado Cash hatte zuvor mit Frontend-Sicherheitsproblemen zu kämpfen. Im Jahr 2024 stellte der Forscher Gas404 fest, dass bösartiges JavaScript in eine Open-Source-Oberfläche eingefügt worden war, was private Einzahlungsnotizen gefährden konnte. Checkmarx dokumentierte später den Kompromiss der Lieferkette, obwohl derzeit keine Beweise vorliegen, die diese Episode mit den neuesten Transaktionen verbinden.
Ein gefälschtes Frontend kann Informationen erfassen, wenn ein Nutzer versucht, eine Einzahlung oder Abhebung vorzunehmen. Der Angreifer kann dann die gestohlene Notiz verwenden, bevor der legitime Eigentümer dies tut. Der Angriff unterscheidet sich von Approval-Phishing, bei dem ein Opfer eine bösartige Transaktion unterzeichnet, die einen Drainer-Vertrag autorisiert.
Empfohlene Maßnahmen für Nutzer
Die unmittelbare Priorität besteht darin, die bestätigten 810 ETH zu überwachen. Überweisungen zu Börsen könnten eine Gelegenheit für Plattformen schaffen, Vermögenswerte zu identifizieren oder einzufrieren, vorbehaltlich ihrer Verfahren und geltenden Gesetze. Das Opfer sollte den Browserverlauf, die gespeicherten URLs, Wallet-Protokolle und Transaktionsaufzeichnungen aufbewahren, bevor es den Vorfall den Wallet-Anbietern, Börsen und Strafverfolgungsbehörden meldet.
Nutzer, die mit demselben Frontend interagiert haben, sollten die Nutzung einstellen, nicht betroffene Vermögenswerte verschieben und verdächtige Token-Genehmigungen widerrufen. Die verfügbaren Beweise unterstützen einen großen Ethereum-Transfer in eine neu aktive Wallet. Es beweist jedoch noch nicht den vollständigen Verlust von 1.010 ETH, die angebliche Übernahme der offiziellen Domain oder die behauptete 4.000 ETH-Kampagne.
