Seorang pengguna Ethereum dilaporkan kehilangan 1,010 ETH setelah menggunakan bookmark Tornado Cash yang sudah usang, yang diduga mengalihkan mereka ke frontend berbahaya. Menurut laporan dari komunitas yang mengawasi insiden ini, kerugian yang dialami mencapai sekitar $2,32 juta dengan harga ETH sekitar $2,295.
Data on-chain sebagian besar mengkonfirmasi kejadian ini, meskipun belum menetapkan jumlah penuh kerugian tersebut. Sebuah wallet yang diidentifikasi terkait dengan serangan ini menerima 810 ETH dalam sembilan transaksi pada 18 Agustus, termasuk delapan transfer sebesar 100 ETH dan satu transfer sebesar 10 ETH antara pukul 5:56 hingga 6:05 UTC.
Pengguna Kehilangan Lebih dari 1,000 ETH dalam Serangan Phishing Setelah Menggunakan Domain Resmi Tornado Cash yang Kedaluwarsa
Menurut pengguna komunitas, seorang pengguna mengklik tautan lama yang tersimpan di bookmark dan diarahkan ke situs phishing melalui domain resmi tornado.cash yang sudah kedaluwarsa.
— Wu Blockchain (@WuBlockchain) 20 Agustus 2026
Serangan menyisakan 810 ETH di wallet yang dicurigai
Wallet yang disebutkan belum melakukan transfer keluar ketika ditinjau dan menyimpan sekitar 810 ETH, yang bernilai sekitar $1,86 juta menurut data Etherscan. Ini meninggalkan selisih 200 ETH antara jumlah yang dilaporkan oleh akun komunitas dan dana yang terhubung dengan wallet tersebut.
Serangan yang diduga terjadi ini bergantung pada perolehan kredensial deposit dari Tornado Cash. Karena catatan deposit yang valid dapat mengizinkan penarikan dari pool privasi yang bersangkutan, antarmuka berbahaya dapat mengekspos dana tanpa memerlukan korban untuk menyetujui transaksi yang menguras wallet secara konvensional.
Klaim bahwa domain tornado.cash sendiri diambil alih setelah kedaluwarsa belum terkonfirmasi. Saat diperiksa, situs tersebut menampilkan antarmuka Tornado Cash, dan tidak ada catatan domain resmi atau peringatan yang telah dikonfirmasi oleh peneliti keamanan mengenai alih kepemilikan yang diklaim ini.
Bagaimana situs crypto palsu bisa mencuri dana tanpa menguras wallet
Serangan phishing dapat menargetkan kredensial bukannya persetujuan wallet. Ini membuatnya sangat sulit dikenali karena korban mungkin merasa berinteraksi dengan layanan yang familiar sambil secara sukarela memasukkan informasi yang nantinya memungkinkan penarikan.
Bookmark lama, hasil pencarian, dan backlink dapat terus mengarahkan pengguna ke domain yang tampak familiar meskipun kepemilikan atau infrastruktur situs telah berubah. Antarmuka yang terlihat sah tidak menjamin bahwa informasi sensitif ditangani dengan aman.
Tornado Cash juga sebelumnya menghadapi masalah keamanan frontend. Pada tahun 2024, peneliti Gas404 mengidentifikasi JavaScript berbahaya dalam antarmuka open-source yang dapat mengekspos catatan deposit pribadi, sementara Checkmarx kemudian mendokumentasikan kompromi rantai pasokan terkait. Tidak ada bukti yang menghubungkan insiden itu dengan transaksi terbaru ini.
Apa yang akan terjadi selanjutnya
Fokus segera adalah melacak 810 ETH yang terkonfirmasi dan menentukan apakah sisa 200 ETH berpindah ke alamat lain. Klaim komunitas bahwa para penyerang yang sama juga mencuri hampir 4,000 ETH selama setahun terakhir juga memerlukan alamat wallet, catatan transaksi, atau atribusi independen sebelum bisa dianggap sah.
Pengguna yang berinteraksi dengan frontend yang dicurigai sebaiknya menyimpan catatan transaksi dan riwayat browser, menghindari situs tersebut, serta meninjau wallet mereka untuk aktivitas mencurigakan. Bursa yang menerima dana yang dicuri juga bisa menjadi titik penting untuk identifikasi atau potensi pembekuan. Sampai bukti tersebut muncul, blockchain mengonfirmasi transfer besar, namun belum menetapkan keseluruhan lingkup atau penyebab dugaan pencurian ini.
