Ein Ethereum-Phishingangriff soll einem Nutzer, der eine mit Tornado Cash verbundene Website aufgerufen hatte, 1.010 ETH entzogen haben. WuBlockchain verwies auf Community-Berichte, denen zufolge das Opfer über einen alten tornado.cash-Link auf ein betrügerisches Frontend gelangte.

Der gemeldete Verlust hatte bei einem Ethereum-Kurs von über 2.200 US-Dollar einen Wert von rund 2,3 Millionen US-Dollar. Separate Berichte stellten jedoch sowohl den exakt gestohlenen Betrag als auch die Behauptung infrage, Angreifer hätten die frühere Domain von Tornado Cash übernommen.

Onchain-Analyst stellt Hintergrund des Phishing-Opfers infrage, während Ethereum über 2.000 US-Dollar steigt

Der Vorfall ereignet sich zu einem Zeitpunkt, an dem Ethereum eine starke Entwicklung zeigt und der Leit-Token auf über 2.300 US-Dollar gestiegen ist. Damit läge der Verlust des Opfers im Phishing-Vorfall deutlich über 2,3 Millionen US-Dollar.

Bislang gibt es keine Anzeichen dafür, dass der Angreifer die gestohlenen Mittel aus seinen Adressen bewegt hat. Das Phishing scheint außerdem in den vergangenen 12 Monaten ähnliche Techniken genutzt zu haben, um bis zu 4 Millionen US-Dollar zu stehlen, was zeigt, wie häufig Wallet-Drain-Betrug weiterhin auf bekannte Taktiken statt auf neue Exploits setzt.

Der Vorfall hat Reaktionen mehrerer Krypto-Nutzer ausgelöst, und auch das Opfer steht unter Beobachtung. Der Onchain-Analyst Specter deutete an, dass das Opfer ein Threat Actor sein könnte.

In einem Beitrag auf X schrieb Specter, dass die ursprünglichen 73 Bitcoin vor zwei Wochen aus einem Whirlpool-Mixer stammten und ein Teil davon zu Ethereum überbrückt wurde. Nach Angaben des pseudonymen Analysts ist es ungewöhnlich, dass das Opfer zwei Mixer nutzte, um eine Kompromittierung einer Hardware-Wallet zu vermeiden.

Specter fügte hinzu, dass das Opfer auch in Telegram-Gruppen zu Private-Key-Findern und Brute-Force-Angriffen gesehen worden sei, was die Theorie weiter stütze, dass es sich um einen Threat Actor handeln könnte.

Krypto-Threat-Actors setzen bei Phishing-Angriffen auf gefälschte und gehackte Websites

Der Vorfall ist Teil eines wachsenden Trends, bei dem Threat Actors gefälschte oder gehackte Websites nutzen, um Krypto-Nutzer anzugreifen. Laut einem Bericht von Malwarebytes verwenden Betrüger gefälschte Anti-Geldwäsche-Dienste, um die Wallets von Nutzern zu leeren.

Diese Dienste ermöglichen es Nutzern zu prüfen, ob eine Krypto-Wallet mit illegalen oder gestohlenen Mitteln in Verbindung stand. Betrüger kopieren jedoch legitime Plattformen oder erstellen gefälschte Angebote mit allgemeinen Namen, bei denen Nutzer ihre Wallets verbinden müssen, um die Prüfung abzuschließen.

Ein weiterer Bericht von Check Point Research ergab, dass Angreifer fast 2.000 WordPress-Seiten hackten, um Krypto-Wallets zu stehlen und Malware zu verbreiten.

Laut dem Bericht ist die Operation Teil des StopAndProtect-Ransomware-Angriffs, wobei Hacker Malware auf kompromittierten Websites einsetzen.

Nutzer, die gehackte Websites besuchen, werden mit einem gefälschten CAPTCHA angegriffen, das sie dazu auffordert, einen Befehl auszuführen, der Malware auf ihrem Computer installiert. Die Malware stiehlt private Zugangsdaten, einschließlich Seed-Phrasen von Wallets, und kann sich über Netzwerke und USB-Laufwerke verbreiten.

Nach Angaben der Check-Point-Forscher kann die Infrastruktur außerdem den Bildschirm infizierter Geräte sperren und Ransomware ausrollen.