Une attaque de phishing sur Ethereum aurait drainé 1 010 ETH d’un utilisateur qui a visité un site lié à Tornado Cash. WuBlockchain a cité des rapports de la communauté affirmant que la victime avait accédé à une fausse interface via un ancien lien tornado.cash.

La perte signalée représentait environ 2,3 millions de dollars alors qu’Ethereum se négociait au-dessus de 2 200 dollars. Cependant, d’autres rapports ont contesté à la fois le montant exact volé et les affirmations selon lesquelles des attaquants auraient pris le contrôle de l’ancien domaine de Tornado Cash.

Un analyste onchain s’interroge sur le profil de la victime du phishing alors qu’Ethereum franchit 2 000 dollars

L’incident survient alors qu’Ethereum affiche une forte dynamique, le jeton phare ayant dépassé 2 300 dollars. Cela placerait la perte de la victime à bien plus de 2,3 millions de dollars dans cette attaque de phishing.

À ce stade, rien n’indique que l’attaquant ait déplacé les fonds volés hors de ses adresses. Le phishing semble également avoir utilisé des techniques similaires pour dérober jusqu’à 4 millions de dollars au cours des 12 derniers mois, soulignant à quel point les arnaques visant les portefeuilles continuent de s’appuyer sur des méthodes connues plutôt que sur de nouvelles vulnérabilités.

L’incident a suscité des réactions de plusieurs utilisateurs crypto, et la victime fait aussi l’objet d’un examen attentif. L’enquêteur onchain Specter a suggéré que la victime pourrait être un acteur malveillant.

Dans une publication sur X, Specter a indiqué que les 73 Bitcoin initiaux provenaient d’un mixer Whirlpool il y a deux semaines, avec une partie transférée vers Ethereum. Selon cet enquêteur pseudonyme, il est inhabituel que la victime ait utilisé deux mixers pour éviter une compromission d’un portefeuille matériel.

Specter a ajouté que la victime avait également été aperçue dans des groupes Telegram liés à la recherche de clés privées et au brute-force, ce qui renforce l’hypothèse selon laquelle il pourrait s’agir d’un acteur malveillant.

Les acteurs malveillants du secteur crypto s’appuient sur des sites falsifiés ou compromis pour leurs attaques de phishing

L’incident s’inscrit dans une tendance croissante d’acteurs malveillants utilisant de faux sites ou des sites piratés pour cibler les utilisateurs crypto. Selon un rapport de Malwarebytes, des escrocs utilisent de faux services de lutte contre le blanchiment d’argent pour vider les portefeuilles des utilisateurs.

Ces services permettent de vérifier si un portefeuille crypto a interagi avec des fonds illicites ou volés. Cependant, les escrocs copient des plateformes légitimes ou en créent de fausses avec des noms génériques, obligeant les utilisateurs à connecter leur portefeuille pour terminer les vérifications, ce qui donne à l’arnaque l’apparence d’une simple étape de contrôle routinière.

Un autre rapport de Check Point Research indique que des acteurs malveillants ont piraté près de 2 000 sites WordPress pour voler des portefeuilles crypto et diffuser des logiciels malveillants.

Le rapport précise que l’opération fait partie de l’attaque par ransomware StopAndProtect, les pirates déployant des logiciels malveillants sur des sites compromis.

Les utilisateurs qui visitent ces sites piratés sont ciblés par un faux CAPTCHA qui les invite à exécuter une commande installant un logiciel malveillant sur leur ordinateur. Ce logiciel vole des identifiants privés, y compris les phrases seed des portefeuilles, et peut se propager via le réseau et les clés USB.

Selon les chercheurs de Check Point, l’infrastructure peut également verrouiller l’écran des appareils infectés et déployer un ransomware.