Un utente Ethereum avrebbe perso 1.010 ETH in un attacco di phishing legato a Tornado Cash dopo aver interagito con quella che è stata descritta come una versione scaduta del front end dello strumento di privacy, secondo i primi resoconti ancora non verificati in modo indipendente.

Cosa si sa sulla perdita segnalata di 1.010 ETH

L'incidente è stato segnalato dal giornalista di criptovalute WuBlockchain su X, che ha riferito che un utente ha perso i fondi in un attacco di phishing. Il resoconto non è stato finora confermato in modo indipendente.

Un post separato sui social di Cryptopolitan ha descritto la stessa perdita come avvenuta dopo che la vittima ha visitato un'interfaccia scaduta di Tornado Cash. L'indirizzo associato può essere consultato su Etherscan per il contesto on-chain.

• Perdita segnalata: 1.010 ETH, attribuita a un attacco di phishing.
• Vettore individuato: un'interfaccia a marchio Tornado Cash, presumibilmente scaduta.
• Stato: segnalato, non confermato in modo indipendente.

Come un'esca di phishing legata a Tornado Cash può intrappolare gli utenti

Nel settore delle criptovalute il phishing prende di mira in genere l'utente anziché il protocollo. Invece di violare uno smart contract, l'attaccante induce la vittima a firmare una transazione dannosa o un'autorizzazione sui token che svuota il suo wallet. In altre parole, l'attacco ha richiesto la firma della vittima stessa — un'autorizzazione che l'attaccante non avrebbe potuto ottenere altrimenti.

Questa distinzione è rilevante nel caso in questione. I resoconti inquadrano l'incidente come phishing e non come uno sfruttamento del protocollo, il che significa che il rischio risiedeva nel livello di interazione con il wallet anziché nel codice sottostante di Tornado Cash ospitato sul sito ufficiale del progetto. Tornado Cash è un mixer che utilizza prove a conoscenza zero per interrompere il legame on-chain tra mittente e destinatario, il che lo ha reso uno degli strumenti di privacy più utilizzati su Ethereum prima che le autorità statunitensi sostenessero che aveva anche riciclato miliardi di dollari, inclusi fondi legati al gruppo Lazarus della Corea del Nord.

Questa vicenda giudiziaria incide sul modo in cui un front end scaduto diventa una trappola. Il Tesoro degli Stati Uniti ha sanzionato Tornado Cash nell'agosto 2022, lasciando l'interfaccia ufficiale offline per un periodo prolungato durante il quale hanno circolato mirror e copie archiviate; una sentenza di novembre 2024 della Corte d'Appello del Quinto Circuito ha stabilito che le sanzioni erano eccessive, ed esse sono state revocate nel marzo 2025, dopo di che il sito ufficiale è tornato attivo. Un periodo senza un'unica interfaccia canonica e costantemente online è esattamente l'ambiente in cui vecchi segnalibri e domini memorizzati indirizzano gli utenti verso copie datate o imitative.

I domini applicativi abbandonati o scaduti rappresentano un pericolo noto. La società di sicurezza Coinspect ha documentato come i dApp “zombie” con infrastrutture scadute possano essere ri-registrati o contraffatti, trasformando un indirizzo un tempo affidabile in una trappola che raccoglie autorizzazioni dagli utenti che vi fanno ritorno. Chi si affida a un vecchio segnalibro o a un dominio memorizzato può trovarsi davanti una pagina dall'aspetto autentico che nel frattempo raccoglie autorizzazioni.

Cosa significa per la sicurezza dei wallet Ethereum

Una perdita di ETH a quattro cifre evidenzia perché la verifica del front end rimanga un punto debole persistente, anche per gli utenti abituati all'autocustodia. I nomi di marca riconoscibili non offrono alcuna garanzia che la pagina caricata nel browser sia quella legittima. Non si tratta inoltre di una minaccia di nicchia: le autorizzazioni dannose vengono distribuite tramite kit “wallet drainer” a noleggio e le società di sicurezza on-chain hanno quantificato in centinaia di milioni di dollari i fondi sottratti alle vittime tramite firme ingannevoli nel corso di un solo anno.

Le difese pratiche si concentrano sull'attenzione prima di firmare. Ciò significa verificare l'URL esatto, leggere il contenuto di ogni transazione invece di approvare ciecamente e rivedere periodicamente e revocare le autorizzazioni sui token concesse alle vecchie applicazioni — un compito per cui sono stati creati strumenti gratuiti come Revoke.cash e il verificatore di autorizzazioni dei token di Etherscan.

La stessa cautela si estende ai flussi di onboarding e di pagamento, in cui gli utenti finanziano sempre più spesso i wallet tramite infrastrutture rivolte ai consumatori, e alle giurisdizioni che stanno formalizzando l'accesso al dettaglio, come la decisione della Russia di consentire la negoziazione pubblica di Ethereum e di altre attività. Un'adozione più ampia allarga il bacino di obiettivi che gli operatori di phishing cercano di raggiungere.

Fino a quando il resoconto non sarà confermato, l'interpretazione più prudente resta quella cautelativa: considerare qualsiasi interfaccia di strumenti per la privacy, in particolare una che potrebbe essere scaduta, come non verificata finché il suo dominio e le interazioni con i contratti non siano stati controllati direttamente. I prossimi punti di verifica naturali sono la conferma indipendente da parte di ricercatori di sicurezza, la tracciatura on-chain dei 1.010 ETH dall'indirizzo collegato e l'identificazione del dominio coinvolto — nessuno dei quali è stato ancora fornito dai resoconti iniziali.

Avvertenza: questo articolo ha esclusivamente scopo informativo e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettua sempre le tue ricerche prima di prendere decisioni.