Tornado Cash apgavystė: naudotojas prarado didelį ETH kiekį

Ethereum vartotojas, nukreiptas Tornado Cash apgaulės, praranda didelę ETH sumą

Atrodo, kad Ethereum piniginė buvo ištuštinta po to, kai jos savininkas paspaudė seną Tornado Cash žymeklį, vedantį į kenkėjišką frontendą. Grandinės įrašai patvirtina didelį lėšų pervedimą į naujai aktyvų adresą, tačiau nepriklausomas pilno nuostolio ir teigiamo domeno užgrobimo patvirtinimas yra neišsamus.

Pagrindinės išvados

• Grandinės įrašai rodo, kad piniginė 2026 m. rugpjūčio 18 d. gavo 810 ETH per devynis pervedimus.
• Bendruomenės pranešimai teigia, kad naudotojas prarado 1 010 ETH apsilankęs įtariamoje phishingo priekyje.
• Nurodyta piniginė išliko su maždaug 810 ETH — tai apie 1,86 milijono USD tuo patikrinimo metu.
• Teiginiai, kad užpuolikai pavogė beveik 4 000 ETH per 12 mėnesių, nėra patvirtinti.
• Nėra oficialaus patvirtinimo, kad Tornado Cash domenas būtų galutinai paimtas užpuolikų.

Įrašai grandinėje: gauta 810 ETH, laikas ir struktūra

Blokų grandinės įrašai rodo, kad įtariama piniginė gavo devynis įeinančius sandorius 2026 m. rugpjūčio 18 d., iš viso 810 ETH. Aštuoni iš tų pervedimų buvo po 100 ETH, o paskutinis buvo 10 ETH; laiko žymos tarp 05:56 ir 06:05 UTC. Kai tyrėjai tikrino balansą Etherscan, adresas laikė maždaug 810 ETH, apskaičiuotą remiantis ETH kaina ~2 295 USD — tai apie 1,86 mln. USD.

Patvirtinta veikla palieka 200 ETH trūkumą, lyginant su 1 010 ETH nuostoliu, apie kurį pranešė kai kurie bendruomenės šaltiniai. Šis skirtumas gali reikšti papildomus pervedimus į kitus adresus, tačiau pateikti įrodymai neįtraukė paskirties adresų ar sandorių hešų, kurie paaiškintų šią spragą.

Bendruomenės naratyvas prieš patikrintus duomenis

Keletas bendruomenės paskyrų aprašė scenarijų, kuriame naudotojas paspaudė seną Tornado Cash žymeklį ir buvo peradresuotas į užpuolėjo kontroliuojamą frontendą. Šie įrašai tvirtino, kad svetainės domenas pasibaigė ir buvo perregistruotas, leidžiant phishingo puslapiui sugauti privačius indėlių pažymėjimus. Vienas plačiai dalinamų tvitų skelbė:

Vartotojas praranda daugiau nei 1 000 ETH per phishingo ataką, naudodamasis Tornado Cash pasibaigusiu oficialiu domenu

Pasak bendruomenės, naudotojas paspaudė seną nuorodą, paliktą susijusioje žymėje, ir per pasibaigusį oficialų domeną tornado.cash buvo peradresuotas į phishingo svetainę, kuri turėjo… pic.twitter.com/8j7eQl3qX2

- Wu Blockchain (@WuBlockchain) 2026 m. rugpjūčio 20 d.

Nors tvitas ir bendruomenės įrašai sparčiai plito, šaltinio domeno įrašas ar oficialus Tornado Cash pareiškimas, patvirtinantis domeno užgrobimą, pranešimo metu nebuvo prieinami. Vėliau tyrėjai peržiūrėję tornado.cash puslapį rado Tornado Cash sąsają — būseną, kuri nei įrodo, nei paneigia, kad anksčiau buvo aktyvus phishingo frontendas.

Kaip Tornado Cash indėlių pažymėjimai leidžia pavogti lėšas

Tornado Cash naudoja privačius indėlių pažymėjimus kaip kredencialus, leidžiančius vartotojams atsiimti lėšas iš anonimizuotų fondų. Galiojantis indėlio pažymėjimas veikia kaip slaptasis raktas: bet kas, kas jį turi, gali inicijuoti atsiėmimą, atitinkantį pradinį indėlį. Netikras frontend arba kenkėjiškas JavaScript, įterptas į sąsają, gali užfiksuoti šiuos pažymėjimus, kai vartotojas bando atlikti indėlį arba atsiėmimą.

Šis atakos vektorius skiriasi nuo sutikimo (approval) phishingo, kai piniginės parašas leidžia išleisti žetonus per nutekėjimo kontraktą. Indėlio pažymėjimo atveju užpuolikui nereikia grandinės sutikimo proceso — jie tiesiog pateikia atsiėmimą naudodami pavogtą pažymėjimą prieš legitimių savininką.

Istorinis kontekstas ir tiekimo grandinės rizika

Tornado Cash jau buvo patyręs frontend saugumo incidentus anksčiau. 2024 m. tyrėjas Gas404 atrado kenkėjišką JavaScript atvirojo kodo fronte, galėjusį atskleisti privačius indėlių pažymėjimus. Checkmarx vėliau dokumentavo tiekimo grandinės kompromisą, susijusį su šia atskleidimo problema. Šiuo metu nėra viešo teismo ryšio, siejančio tą ankstesnį kompromisą su neseniai 2026 m. rugpjūčio 18 d. pastebėtais pervedimais.

Taip pat svarbu suprasti, kaip pasibaigę domenai ir pasenę žymekliai gali būti panaudoti piktavališkai. Domenai, kurie nutrūksta, bet išlaiko atgalines nuorodas ir paieškos matomumą, lieka vartotojų pasitikimi. Užpuolikai, įsigiję tokius domenus, gali pateikti pažįstamas vartotojo sąsajas ir nuskaityti kredencialus ar privačius raktus iš nieko neįtariančių lankytojų.

Teiginiai apie didesnę kampaniją lieka neįrodyti

Bendruomenės pranešimuose taip pat buvo teigiama, kad tie patys grėsmės veikėjai per pastaruosius 12 mėnesių nuplovė beveik 4 000 ETH, naudodami panašius phishingo frontendus. Šie teiginiai nebuvo lydimi susijusių adresų sąrašų, sandorių hešų ar atpažinimo ataskaitos iš pripažintos saugumo įmonės. Be susietų piniginių adresų arba forensinės analizės, 4 000 ETH skaičius negali būti nepriklausomai patikrintas.

Blokų grandinės duomenys aiškiai rodo, kur lėšos perėjo, tačiau nustatyti, kuri šalis kontroliavo konkretų adresą ar susieti pervedimus su konkrečia phishingo kampanija, reikia papildomų įrodymų — analitinių klasterių, biržų žymėjimo arba saugumo įmonės ataskaitos.

Ką stebėti toliau

Tyrėjų ir platesnės bendruomenės neatidėliotinas dėmesys turėtų būti skirtas stebėti patvirtintą 810 ETH ir bet kokius vėlesnius judėjimus. Jei ETH bus išsiųstas į žinomas biržų adresus, tų platformų atitikties komandos gali turėti galimybę pažymėti, atsekti ar užšaldyti lėšas, atsižvelgiant į jų politiką ir taikomus įstatymus.

Saugumo tyrėjai, biržos ir Tornado Cash bendruomenės prižiūrėtojai turėtų ieškoti susijusių adresų, įtartinų indėlių modelių ir bet kokių grandinėje esančių pėdsakų, kurie padėtų patvirtinti arba paneigti platesnių kampanijų teiginius.

Rekomendacijos vartotojams ir aukoms

Jeigu jūs arba kas nors iš jūsų bendruomenės galėjo naudotis tuo pačiu frontendu, imkitės šių neatidėliotinų veiksmų:

• Išsaugokite naršyklės istoriją, žymėtas URL, piniginės žurnalus ir sandorių kvitus, kad padėtumėte tyrimui.
• Praneškite apie incidentą savo piniginės tiekėjui, bet kokioms biržoms, kur turėjote paskyras, ir vietos teisėsaugai.
• Perkelkite nepaveiktas lėšas į saugią piniginę, kuri nebuvo atskleista; apsvarstykite galimybę naudoti naują įrenginį arba ką tik įdiegtą piniginės programėlę atstatymui.
• Atšaukite įtartinus žetonų leidimus iš centralizuotų skydelių (pvz., Etherscan ar piniginės valdymo įrankių) ir atstatykite naršyklės plėtinius, kai tai tinka.
• Prieš vėl prijungdami piniginę, patikrinkite oficialius projekto domenus ir frontend URL per kelis patikrintus kanalus.

Galutinė išvada

Prieinami grandinės duomenys palaiko reikšmingą Ethereum pervedimą į naujai aktyvią piniginę, kas atitinka sėkmingą indėlių kredencialų phishingo išgavimą. Tačiau duomenys dar nepriklausomai neįrodo visuotinai skleidžiamo 1 010 ETH nuostolio, taip pat nepatvirtina tariamo oficialaus Tornado Cash domeno užgrobimo ar 4 000 ETH kampanijos egzistavimo.

Kaip ir daugelyje kripto incidentų, greiti vieši pareiškimai gali lenkti patikimus duomenis. Kruopšti grandinės analizė, biržų bendradarbiavimas ir forensinės ataskaitos bus būtinos norint nustatyti vagystės mastą, identifikuoti galimus išgryninimo kelius ir sustiprinti apsaugą nuo būsimų frontend phishingo atakų.