Пользователь Ethereum потерял 1 010 ETH — около $2,32 млн при цене примерно $2 295 за монету — в результате фишинговой атаки, связанной с предполагаемым перехватом истёкшего домена Tornado Cash. Об инциденте 20 августа сообщили криптосообщества, включая Wu Blockchain, однако официального подтверждения от Tornado Cash, профильных блокчейн-компаний или самого пострадавшего на момент подготовки материала не поступало.
Как развивалась ситуация. По версии сообщества, жертва перешла по старой закладке на tornado.cash. Домен, как утверждается, не был продлён командой проекта из-за санкций Управления по контролю за иностранными активами Минфина США, после чего его зарегистрировал злоумышленник и развернул поддельный интерфейс. В течение примерно 12 часов после взаимодействия с фишинговым фронтендом с кошелька пользователя вывели средства.
Ончейн-данные дают лишь частичное подтверждение. Указанный в отчётах адрес получил 810 ETH девятью транзакциями 18 августа: восемь переводов по 100 ETH и один на 10 ETH. Транзакции прошли с 05:56 до 06:05 UTC. На момент проверки Etherscan оценивал остаток примерно в $1,86 млн. Исходящие переводы с этого адреса не фиксировались, что указывает на сохранение основной части средств под контролем предполагаемого атакующего. При этом разница в 200 ETH между заявленной потерей 1 010 ETH и подтверждёнными 810 ETH остаётся необъяснённой: средства могли уйти на другой адрес, но доказательств этому не представлено.
Захват домена не подтверждён. На момент проверки tornado.cash открывался и показывал интерфейс Tornado Cash. Авторитетных данных о смене владельца домена, официального предупреждения проекта или отчёта профильного исследователя нет. Сайт, загружающийся корректно при проверке, не доказывает его безопасность ранее: злоумышленники могут убирать вредоносный код, выборочно перенаправлять посетителей или восстанавливать легитимный интерфейс после сбора данных.
Сообщается также, что та же группа могла украсть около 4 000 ETH за последние 12 месяцев с использованием аналогичных схем с истёкшими доменами. Однако список связанных адресов, хеши транзакций или отчёт профильной компании не опубликованы, поэтому эта оценка не подлежит независимой проверке.
Почему это опасно. Tornado Cash использует приватные депозитные записки для вывода средств. Получив валидную записку, атакующий может инициировать вывод раньше владельца. Это отличает атаку от классического approval-фишинга, при котором жертва подписывает злонамеренную транзакцию и передаёт права на активы дренажному контракту, поясняют эксперты.
Tornado Cash ранее уже сталкивался с проблемами безопасности фронтенда. В 2024 году исследователь Gas404 обнаружил вредоносный JavaScript в интерфейсе с открытым исходным кодом, который мог раскрывать приватные депозитные записки; позже инцидент задокументировала Checkmarx. Связь того эпизода с текущими транзакциями не установлена.
Пользователям рекомендуется проверять домены через несколько актуальных официальных каналов перед подключением кошелька и не полагаться на старые закладки. Пострадавшим стоит сохранять историю браузера, логи кошелька и записи о транзакциях, а затем обращаться к платформам и правоохранительным органам. Переводы подтверждённых 810 ETH на биржи могли бы дать площадкам возможность идентифицировать или заморозить активы в рамках их процедур и применимого законодательства.
