一名以太坊用户据称在访问一个旧的 Tornado Cash 书签后，该链接重定向至由钓鱼攻击者控制的恶意前端，从而损失了 1010 ETH。
摘要
链上记录确认，一个以太坊地址在 8 月 18 日通过九笔转账收到 810 ETH。社区报告称，用户在访问疑似钓鱼前端后被盗 1010 ETH。所涉钱包保留约 810 ETH，在核查时价值约 186 万美元。关于攻击者在十二个月内窃取近 4000 ETH 的说法仍未获研究人员独立证实。
Tornado Cash 网站在核查时可正常访问，因此所谓的域名接管尚无官方确认。社区账户称事件在约 12 小时内发生，攻击者获取了受害者的 Tornado Cash 存款凭证并提走资金，随后转入多个地址。链上记录提供了部分确认：所涉钱包在 8 月 18 日通过九笔交易收到 810 ETH，其中八笔各 100 ETH，最后一笔 10 ETH，交易发生于 UTC 时间 5:56 至 6:05。该地址保留约 810 ETH，Etherscan 在 8 月 20 日核查时估值约 186 万美元。
以太坊记录确认 810 ETH，而非全部声称金额
已验证交易显示，社区用户报告的 1010 ETH 损失与所涉钱包持有的 810 ETH 之间存在 200 ETH 缺口。剩余金额可能到达另一地址，但所提供的证据未包含其他目的地。在本文准备时，Tornado Cash、知名区块链安全公司或据称受害者均未公开发表声明独立确认全部金额。社区称受害者追踪到总计 1010 ETH 损失，但提供的地址仅独立确认 810 ETH。该钱包在审查时记录了九笔交易且无转出，因此其余额支持大部分报道资金仍处于疑似攻击者控制下的说法。按 ETH 价格约 2295 美元，确认的 810 ETH 价值约 186 万美元，报道的 1010 ETH 损失按同价约 232 万美元。
Tornado Cash 域名接管仍未确认
报告将盗窃归咎于 tornado.cash 域名，称其在项目团队因美国制裁中断未能续费后过期，攻击者随后注册并安装假界面。此说法无法完全验证。核查时域名可访问并显示 Tornado Cash 界面，未发现权威域名记录、官方警告或具名安全研究人员确认地址过期并变更所有权。因此官方域名被攻击者捕获的说法仍未经确认，不应作为既定原因。核查时网站正常加载不代表早前安全，攻击者可移除恶意代码、仅重定向部分访客或收集凭证后恢复合法界面。
Tornado Cash 此前曾有前端安全问题。2024 年，研究员 Gas404 发现开源界面被插入恶意 JavaScript 可能暴露私密存款笔记，Checkmarx 后来记录了该供应链攻击，但目前无证据将此与最新交易关联。
存款笔记可使攻击者控制资金
Tornado Cash 使用私密存款笔记让用户从池中提取资产，任何获得有效笔记者通常可发起对应提款，笔记类似私密凭证。假前端可在用户尝试存取时捕获该信息，攻击者在合法所有者之前使用被盗笔记。这与审批钓鱼不同，后者是受害者签署恶意交易授权 drainer 合约。旧书签构成风险，因用户常假定昔日可信链接仍安全，过期或转移的域名保留熟悉名称、搜索排名和反向链接，使恶意替换更难识别。
近 4000 ETH 说法需更多证据
社区还称同一攻击者过去 12 个月通过类似手法窃取近 4000 ETH，但无相关地址列表或归因分析。无关联钱包、交易哈希或安全公司报告，该估算无法独立验证。区块链转账显示资金流向，但不自动证明地址控制者或钓鱼活动归属。当前优先监控确认的 810 ETH，转入交易所或为平台识别冻结提供机会。受害者应保留浏览器历史、书签 URL、钱包日志和交易记录再报案。交互过同前端的用户应停止使用、转移资产并撤销可疑审批。现有证据支持大额 ETH 转入新活跃钱包，尚未证明全部 1010 ETH 损失、官方域名接管或 4000 ETH 活动。