古いTornado Cashのブックマークからフィッシング用フロントエンドに誘導されたことで、ある暗号資産ユーザーが1,010 ETHを失った。オンチェーン報告によると、そのフロントエンドは預け入れ資金にアクセスするために必要な秘密の引き出し認証情報を取得していた。

被害者はETHを正規のTornado Cashコントラクトに預け入れたが、悪意あるインターフェースがその過程で生成された秘密のノートを入手した。攻撃者はその認証情報を使い、基盤となるTornado Cashのスマートコントラクトを侵害することなく、およそ12時間以内に資産を引き出した。

フィッシング用フロントエンドが秘密の引き出しノートを標的に

Tornado Cashは、ゼロ知識証明によって預け入れと引き出しを分離している。預け入れ時に生成される秘密のノートがその後の引き出しを制御するため、そのノートを持っているだけで対応する資産を請求できる。この設計では、スマートコントラクト自体が無事であっても、フロントエンドがユーザー体験の重要な一部となる。

悪意あるフロントエンドはプロトコルの画面を模倣し、被害者が引き出しを完了する前にその認証情報を取得していた。古いブックマークが、米国の制裁措置に伴う混乱の中で以前のTornado Cashドメインが失効した後、ユーザーを侵害されたページへ誘導したとされている。

この攻撃は、貸付プロトコルから盗まれた資金を動かそうとしていたzkLendの攻撃者が、偽のTornado Cashフロントエンドによって2,930 ETHを失った以前の事例とよく似ている。過去12か月で発生した盗難のうち、最新のフロントエンドに関連するフィッシング操作には約4,000 ETHが帰属している。

810 ETHは9件の可視化された引き出しに表示

報告された損失は合計1,010 ETHだが、公開追跡された引き出しの流れは9件の取引で810 ETHを示している。残る200 ETHは、同じ可視化された宛先経路に明確には結び付けられていない。

フィッシングによる被害は、Ethereumユーザーに対して複数の手口で続いている。7月には、あるユーザーが悪意あるトークン承認に署名した後、999,999ドル相当のUSDTを失い、攻撃者は秘密鍵を取得することなくウォレットを流出させる権限を得た。別のキャンペーンでは、被害者が悪意あるリンク、署名、または承認に接触した後、PolymarketでpUSDを保有していたユーザーから推定2.94百万ドルが流出した。

Tornado Cashの事例は異なる経路をたどった。ETH自体は意図されたプライバシー向けコントラクトに到達していたが、フロントエンドが引き出しノートを取得した時点で預け入れ資金の管理権が失われた。利用者にとってこの違いは重要で、プロトコルが設計どおりに機能していても、フィッシングサイトが引き出し完了に必要な唯一の情報を静かに盗み取ることがある。

被害資金はWhirlpoolにさかのぼる

この損失に関連するウォレットは、その約2週間前にWhirlpool Bitcoin mixerから73 BTC、約460万ドル相当を受け取っており、その後ポジションの一部がEthereumとTornado Cashへ移動していた。

同じユーザーは、Bitcoinを移した理由についてColdcardウォレットの安全性への懸念を挙げていた。一方で、ウォレットの活動は、秘密鍵探索やブルートフォースツールに関心を持つTelegramグループともこのアカウントを関連付けていた。取引履歴は、被害者自身が高リスクな暗号資産活動に関与していた可能性を示している。

Tornado Cashは2025年3月21日に米財務省の制裁リストから削除された。現在のWebインターフェースでは、プロトコルへのアクセス手段としてapp.tornado.cashに加え、ENSおよびIPFSベースのミラーが案内されている。