Insiden Kehilangan Ethereum Melalui Phishing
Seorang pengguna Ethereum dilaporkan kehilangan 1.010 ETH setelah mengklik bookmark Tornado Cash yang sudah kadaluarsa, yang diduga mengarahkan ke frontend jahat yang dikendalikan oleh penyerang phishing. Menurut akun komunitas, insiden ini berlangsung selama sekitar 12 jam.
Detail Insiden
Penyerang berhasil memperoleh kredensial setoran Tornado Cash dari korban dan menarik dana sebelum mentransfernya ke beberapa alamat. Catatan on-chain memberikan konfirmasi sebagian. Dompet yang disebutkan menerima 810 ETH melalui sembilan transaksi pada 18 Agustus. Delapan transfer masing-masing membawa 100 ETH, sementara transfer terakhir membawa 10 ETH. Transaksi terjadi antara pukul 5:56 pagi dan 6:05 pagi UTC.
Alamat tersebut mempertahankan sekitar 810 ETH, yang nilainya menurut Etherscan sekitar $1,86 juta saat diperiksa pada 20 Agustus. Namun, terdapat celah sebesar 200 ETH antara kerugian 1.010 ETH yang dilaporkan oleh pengguna komunitas dan 810 ETH yang dipegang oleh dompet tersebut. Jumlah yang tersisa mungkin telah mencapai alamat lain, tetapi tidak ada tujuan tambahan yang disertakan dalam bukti yang disediakan.
Klaim dan Verifikasi
Menurut pengguna komunitas, seorang pengguna mengklik tautan lama yang tersimpan dalam bookmark dan diarahkan ke situs phishing melalui domain resmi tornado.cash yang sudah kadaluarsa. Hingga saat ini, belum ada pernyataan publik dari Tornado Cash, sebuah perusahaan keamanan blockchain yang terkemuka, atau dari korban yang dilaporkan yang secara independen mengonfirmasi jumlah kerugian tersebut.
Akun komunitas mengklaim bahwa korban melacak total kerugian sebesar 1.010 Ethereum, tetapi alamat yang disediakan hanya mengonfirmasi 810 Ethereum secara independen.
Dompet yang disebutkan telah mencatat sembilan transaksi dan tidak ada transfer keluar pada saat tinjauan. Saldo tersebut mendukung klaim bahwa sebagian besar dana yang dilaporkan tetap berada di bawah kendali penyerang yang dicurigai. Dengan harga Ether sekitar $2.295, 810 Ethereum yang terkonfirmasi bernilai sekitar $1,86 juta. Kerugian 1.010 Ethereum yang dilaporkan akan bernilai sekitar $2,32 juta pada harga yang sama.
Penyebab Pencurian
Laporan menyebutkan bahwa pencurian ini disebabkan oleh domain tornado.cash, yang diklaim telah kadaluarsa setelah tim proyek gagal memperbaruinya akibat sanksi AS. Menurut akun tersebut, seorang penyerang kemudian mendaftarkan alamat tersebut dan menginstal antarmuka pengguna palsu. Namun, klaim ini belum dapat sepenuhnya diverifikasi.
Domain tersebut dapat diakses dan menampilkan antarmuka Tornado Cash saat diperiksa. Tidak ada catatan domain otoritatif, peringatan resmi dari Tornado Cash, atau peneliti keamanan yang disebutkan yang ditemukan untuk mengonfirmasi bahwa alamat tersebut telah kadaluarsa dan berpindah kepemilikan.
Klaim bahwa domain resmi ditangkap oleh penyerang tetap tidak terkonfirmasi dan tidak boleh disajikan sebagai penyebab yang sudah ditetapkan.
Masalah Keamanan Sebelumnya
Tornado Cash sebelumnya juga menghadapi masalah keamanan frontend. Pada tahun 2024, peneliti Gas404 menemukan bahwa JavaScript jahat telah disisipkan ke dalam antarmuka sumber terbuka dan dapat mengekspos catatan setoran pribadi. Checkmarx kemudian mendokumentasikan kompromi rantai pasokan, meskipun tidak ada bukti yang menghubungkan episode tersebut dengan transaksi terbaru.
Tornado Cash menggunakan catatan setoran pribadi untuk memungkinkan pengguna menarik aset dari kolamnya. Siapa pun yang memperoleh catatan yang valid umumnya dapat memulai penarikan yang sesuai, menjadikan catatan tersebut sebanding dengan kredensial pribadi. Antarmuka frontend palsu dapat menangkap informasi ini ketika pengguna mencoba melakukan setoran atau penarikan.
Risiko Bookmark Lama
Dalam liputan terkait, crypto.news menjelaskan bagaimana penguras dompet mengeksploitasi tanda tangan menipu untuk mendapatkan akses ke token dan aset non-fungible. Bookmark lama menghadirkan risiko lain karena pengguna sering menganggap tautan yang sebelumnya dipercaya tetap aman.
Domain yang kadaluarsa atau dipindahkan mempertahankan nama, peringkat pencarian, dan backlink yang dikenal, sehingga membuat penggantian jahat lebih sulit diidentifikasi. Seperti yang baru-baru ini dilaporkan oleh crypto.news, situs web palsu terus menguras dompet Ethereum setelah pengguna menyetujui transaksi atau memasukkan informasi sensitif.
Langkah Selanjutnya untuk Korban
Pendekatan teraman adalah memverifikasi domain melalui beberapa saluran proyek terkini sebelum menghubungkan dompet. Laporan komunitas juga mengklaim bahwa penyerang yang sama mencuri hampir 4.000 ETH melalui metode serupa selama 12 bulan sebelumnya. Namun, tidak ada daftar alamat terkait atau analisis atribusi yang menyertai angka tersebut.
Tanpa dompet yang terhubung, hash transaksi, atau laporan dari perusahaan keamanan, perkiraan 4.000 ETH tidak dapat diverifikasi secara independen. Transfer blockchain menunjukkan ke mana dana berpindah, tetapi tidak secara otomatis menetapkan siapa yang mengendalikan setiap alamat atau kampanye phishing mana yang menghasilkan mereka.
Prioritas segera adalah memantau 810 ETH yang terkonfirmasi. Transfer ke bursa dapat menciptakan peluang bagi platform untuk mengidentifikasi atau membekukan aset, tergantung pada prosedur dan hukum yang berlaku. Korban harus menyimpan riwayat browser, URL yang dibookmark, log dompet, dan catatan transaksi sebelum melaporkan insiden tersebut kepada penyedia dompet, bursa, dan penegak hukum.
Pengguna yang berinteraksi dengan frontend yang sama harus berhenti menggunakannya, memindahkan aset yang tidak terpengaruh, dan mencabut persetujuan token yang mencurigakan. Bukti yang tersedia mendukung transfer besar Ethereum ke dompet yang baru aktif. Namun, belum ada bukti yang membuktikan kerugian penuh 1.010 ETH, pengambilalihan yang diduga dari domain resmi, atau kampanye 4.000 ETH yang diklaim.
