1.010 ETH gestolen via verlopen Tornado Cash domein

Een gebruiker is meer dan 1.000 Ethereum kwijt geraakt nadat hij via een oud bladwijzer een phishing site bezocht die draait op het verlopen officiële domein van Tornado Cash. Het domein was niet verlengd door het team, mede door de sancties van de Amerikaanse autoriteiten, waarna aanvallers het registreerden en er een nep-interface op plaatsten. On-chain analist Specter stelt echter dat het vermeende slachtoffer zelf mogelijk een kwaadwillende partij is.

In het kort:

• Een gebruiker verloor 1.010 ETH via een nep-versie van Tornado Cash op een verlopen domein
• De aanvallersgroep zou in twaalf maanden tijd via vergelijkbare methodes bijna 4.000 ETH hebben buitgemaakt
• On-chain data suggereert dat het vermeende slachtoffer zelf mogelijk betrokken is bij illegale activiteiten

Verlopen domein werd phishing val

Tornado Cash, de bekende crypto mixer op Ethereum, vernieuwde zijn officiële domein niet na sancties van het Amerikaanse Office of Foreign Assets Control (OFAC). Aanvallers grepen die kans en registreerden het domein opnieuw om er een nagemaakte versie van de interface op te zetten.

Het slachtoffer klikte op een oude link die nog in zijn bladwijzers stond en belandde zo op de nep-site. Binnen twaalf uur draineerden de hackers 1.010 ETH van zijn wallet. Volgens het spoor dat het slachtoffer zelf bijhield, staan de gestolen middelen vooralsnog op adressen van de aanvallers. De groep achter deze aanval zou de afgelopen twaalf maanden via vergelijkbare trucs in totaal bijna 4.000 ETH hebben gestolen.

Was het slachtoffer zelf een aanvaller?

On-chain analist Specter plaatst vraagtekens bij het verhaal van het vermeende slachtoffer. Volgens Specter wijst beschikbare blockchain data erop dat de fondsen mogelijk afkomstig zijn uit illegale activiteiten.

Het slachtoffer claimde zijn bezittingen van Bitcoin naar Ethereum te hebben overgezet vanwege een gecompromitteerde hardware wallet. Maar on-chain data laat zien dat de 73 BTC, destijds goed voor ongeveer $4,6 miljoen, twee weken eerder uit de Whirlpool Bitcoin mixer kwamen, voordat ze naar Ethereum werden overgebracht en op de nep-interface werden gestort.

Specter merkt op dat het routeren van fondsen via meerdere mixers niet past bij iemand die simpelweg probeert te ontsnappen aan een gehackte hardware wallet. Daarnaast was dezelfde persoon actief in Telegram groepen gericht op het kraken van privésleutels en brute force tools. Specter noemt de situatie mogelijk een geval waarbij twee kwaadwillende partijen elkaar bestelen.

De zaak laat zien hoe verlopen domeinen van bekende crypto projecten een gevaar vormen voor gebruikers die op oude links of bladwijzers vertrouwen. Of het slachtoffer zelf een legitieme gebruiker is of een andere aanvaller, is vooralsnog niet vastgesteld.