1.010 ETH durch abgelaufene Tornado-Cash-Domain gestohlen

Ein Nutzer hat mehr als 1.000 Ethereum verloren, nachdem er über ein altes Lesezeichen eine Phishing-Seite besuchte, die auf der abgelaufenen offiziellen Domain von Tornado Cash läuft. Die Domain wurde vom Team nicht verlängert, unter anderem wegen der Sanktionen der US-Behörden. Daraufhin registrierten Angreifer sie und platzierten eine gefälschte Oberfläche darauf. On-Chain-Analyst Specter stellt jedoch die Vermutung auf, dass das angebliche Opfer selbst möglicherweise eine böswillige Partei ist.

In Kürze:

• Ein Nutzer verlor 1.010 ETH über eine gefälschte Version von Tornado Cash auf einer abgelaufenen Domain
• Die Angreifergruppe soll in zwölf Monaten mit ähnlichen Methoden fast 4.000 ETH erbeutet haben
• On-Chain-Daten deuten darauf hin, dass das angebliche Opfer selbst möglicherweise in illegale Aktivitäten verwickelt ist

Abgelaufene Domain wurde zur Phishing-Falle

Tornado Cash, der bekannte Krypto-Mixer auf Ethereum, verlängerte seine offizielle Domain nach Sanktionen des US-amerikanischen Office of Foreign Assets Control (OFAC) nicht. Angreifer nutzten diese Gelegenheit und registrierten die Domain erneut, um darauf eine nachgebaute Version der Oberfläche zu platzieren.

Das Opfer klickte auf einen alten Link, der noch in seinen Lesezeichen gespeichert war, und landete so auf der gefälschten Seite. Innerhalb von zwölf Stunden zogen die Hacker 1.010 ETH von seiner Wallet ab. Laut der Spur, die das Opfer selbst verfolgte, befinden sich die gestohlenen Mittel vorerst auf Adressen der Angreifer. Die Gruppe hinter diesem Angriff soll in den vergangenen zwölf Monaten mit ähnlichen Tricks insgesamt fast 4.000 ETH gestohlen haben.

War das Opfer selbst ein Angreifer?

On-Chain-Analyst Specter stellt Fragen zur Geschichte des angeblichen Opfers. Laut Specter deuten verfügbare Blockchain-Daten darauf hin, dass die Gelder möglicherweise aus illegalen Aktivitäten stammen.

Das Opfer behauptete, seine Besitztümer wegen einer kompromittierten Hardware-Wallet von Bitcoin auf Ethereum übertragen zu haben. Doch On-Chain-Daten zeigen, dass die 73 BTC, damals rund 4,6 Millionen Dollar wert, zwei Wochen zuvor aus dem Whirlpool-Bitcoin-Mixer kamen, bevor sie auf Ethereum übertragen und auf der gefälschten Oberfläche eingezahlt wurden.

Specter merkt an, dass das Schleusen von Geldern durch mehrere Mixer nicht zu jemandem passt, der einfach versucht, einer gehackten Hardware-Wallet zu entkommen. Zudem war dieselbe Person in Telegram-Gruppen aktiv, die sich auf das Knacken von privaten Schlüsseln und Brute-Force-Tools konzentrieren. Specter bezeichnet die Situation als möglichen Fall, in dem sich zwei böswillige Parteien gegenseitig bestehlen.

Der Fall zeigt, wie abgelaufene Domains bekannter Krypto-Projekte eine Gefahr für Nutzer darstellen, die auf alte Links oder Lesezeichen vertrauen. Ob das Opfer selbst ein legitimer Nutzer oder ein anderer Angreifer ist, ist vorerst nicht geklärt.