Un attacco di phishing su Ethereum avrebbe sottratto 1.010 ETH a un utente che aveva visitato un sito collegato a Tornado Cash. WuBlockchain ha citato segnalazioni della community secondo cui la vittima sarebbe arrivata a un frontend fraudolento tramite un vecchio link tornado.cash.

La perdita segnalata valeva circa 2,3 milioni di dollari mentre Ethereum scambiava sopra i 2.200 dollari. Tuttavia, altre segnalazioni hanno messo in discussione sia l'entità esatta del furto sia le affermazioni secondo cui gli aggressori avrebbero preso il controllo del vecchio dominio di Tornado Cash.

Un analista onchain mette in discussione il background della vittima del phishing mentre Ethereum supera i 2.000 dollari

L'incidente arriva in un momento in cui Ethereum sta registrando una performance solida, con il token che è salito sopra i 2.300 dollari. Ciò porterebbe la perdita della vittima a ben oltre 2,3 milioni di dollari nell'incidente di phishing.

Finora non ci sono segnali che l'aggressore abbia spostato i fondi rubati fuori dai propri indirizzi. Il phishing sembra inoltre aver utilizzato tecniche simili per rubare fino a 4 milioni di dollari negli ultimi 12 mesi, a testimonianza di quanto le truffe che svuotano i portafogli continuino a fare affidamento su tattiche note piuttosto che su nuovi exploit.

L'incidente ha suscitato reazioni da parte di diversi utenti crypto e anche la vittima è finita sotto esame. L'investigatore onchain Specter ha suggerito che la vittima potrebbe essere un threat actor.

In un post su X, Specter ha affermato che i 73 Bitcoin originari provenivano dal mixer Whirlpool due settimane fa e che parte di essi è stata trasferita tramite bridge su Ethereum. Secondo l'investigatore pseudonimo, è insolito che la vittima abbia usato due mixer per evitare la compromissione di un hardware wallet.

Specter ha aggiunto che la vittima è stata vista anche in gruppi Telegram dedicati al private-key-finder e al brute-force, il che rafforza ulteriormente l'ipotesi che l'individuo possa essere un threat actor.

I threat actor crypto puntano su siti falsi e violati per gli attacchi di phishing

L'incidente fa parte di una tendenza crescente di threat actor che utilizzano siti falsi o violati per colpire gli utenti crypto. Secondo un report di Malwarebytes, i truffatori stanno usando falsi servizi antiriciclaggio per svuotare i portafogli degli utenti.

Questi servizi permettono di verificare se un portafoglio crypto abbia interagito con fondi illeciti o rubati. Tuttavia, i truffatori clonano piattaforme legittime o ne creano di false con nomi generici che richiedono agli utenti di collegare i propri portafogli per completare i controlli, facendo sembrare il flusso di phishing un normale passaggio di verifica.

Un altro report di Check Point Research ha indicato che malintenzionati hanno violato quasi 2.000 siti WordPress per rubare portafogli crypto e diffondere malware.

Il report ha indicato che l'operazione fa parte dell'attacco ransomware StopAndProtect, con hacker che distribuiscono malware su siti compromessi.

Gli utenti che visitano i siti violati vengono presi di mira con un falso CAPTCHA che chiede loro di eseguire un comando che installa malware sui loro computer. Il malware ruba credenziali private, incluse le seed phrase dei portafogli, e può diffondersi attraverso le reti e le chiavette USB.

Secondo i ricercatori di Check Point, l'infrastruttura può inoltre bloccare lo schermo dei dispositivi infetti e distribuire ransomware.