以太坊用户在 Tornado Cash 网络钓鱼攻击中损失 810 ETH，已获确认

据 Wu Blockchain 8 月 20 日的一份报告，一名以太坊用户在访问疑似 Tornado Cash 钓鱼网站后，据称损失了 1,010 ETH，价值约 230 万美元。据称，事件发生在受害者使用旧书签之后，该书签将其重定向至一个旨在窃取提现凭证的欺诈性前端。链上数据独立确认，8 月 18 日约 5:56 至 6:05 UTC 期间，共有 810 ETH 通过 9 笔交易转入同一个钱包地址。此次攻击并未利用智能合约漏洞；相反，据称该钓鱼网站窃取了私密存款凭证，使攻击者能够先于合法所有者提取资金。社区账户声称，该协议此前使用的 tornado.cash 域名已到期，随后被攻击者注册，但目前尚未独立核实该域名是否确实已被接管。

链上确认 810 ETH，剩余 200 ETH 差额尚未核实

一个已确认与该事件相关的钱包地址于 8 月 18 日收到总计 810 ETH 的 9 笔转账——其中 8 笔各为 100 ETH，随后 1 笔为 10 ETH——时间约在 5:56 至 6:05 UTC 之间。8 月 20 日检查时，该地址仍持有约 810 ETH；按 ETH 接近 2,295 美元的价格计算，价值约 186 万美元。社区报告称，总损失在约 12 小时内达到 1,010 ETH，但其中 200 ETH 的差额意味着，广泛报道的数字目前不应被视为已得到完全独立的核实。剩余的 200 ETH 可能已被转移至另一个由攻击者控制的地址，但公开引用的证据尚未确认该接收地址。报道中提及的受害者或任何知名区块链安全公司，均未独立确认完整的 1,010 ETH 数字。

钓鱼前端窃取存款凭证，未涉及智能合约漏洞利用

据报道，此次攻击机制与智能合约漏洞利用存在根本差异。Tornado Cash 允许用户存入加密货币，之后使用私密存款凭证提现。任何获得必要存款凭证的人都有可能发起提现，使这些信息成为高价值凭证。仿冒前端可以窃取用户的存款凭证，而无需入侵以太坊、Tornado Cash 智能合约或受害者的底层钱包。攻击者随后可以利用这些凭证，在合法所有者提现之前提取已存入的资产。据称，受害者向欺诈性前端提供了 Tornado Cash 存款信息，使攻击者能够提取相应资产。

域名接管说法缺乏独立确认

社区报告称，tornado.cash 在其运营方因美国制裁相关中断而无法续费后到期，使攻击者得以注册该域名并部署恶意前端。然而，Crypto.news 的独立检查发现，截至 8 月 20 日，该域名仍可访问，并显示 Tornado Cash 界面。该检查未发现权威域名记录、Tornado Cash 官方警告或具名安全研究人员对所有权已转移给攻击者的独立确认。Tornado Cash 此前曾面临与前端相关的安全问题，包括 2024 年在一个开源界面中发现的恶意 JavaScript。该代码可能暴露私密存款凭证，但目前没有证据表明该事件与最新报道的盗窃案有关。

常见问题

8 月 18 日 Tornado Cash 钓鱼攻击中发生了什么？

一名以太坊用户在通过旧版 Tornado Cash 书签访问疑似钓鱼网站后，据称损失了 1,010 ETH。链上数据显示，8 月 18 日 5:56 至 6:05 UTC 期间，共有 810 ETH 通过 9 笔交易转入同一个钱包。攻击者据称通过欺诈性前端窃取了受害者的私密存款凭证，从而得以提取资金。

攻击者没有利用智能合约漏洞，是如何窃取 ETH 的？

此次攻击依靠的是凭证盗窃，而非智能合约漏洞。Tornado Cash 用户使用私密存款凭证提现。受害者输入这些信息时，钓鱼前端窃取了相关内容，使攻击者能够在合法所有者之前发起提现，无需攻破以太坊或 Tornado Cash 智能合约。

tornado.cash 域名被接管一事是否已得到独立核实？

没有。社区报告称，该域名已到期并被攻击者注册，但 Crypto.news 于 8 月 20 日进行的独立检查发现，该域名仍可访问并显示 Tornado Cash 界面，且没有权威证据确认所有权发生转移。没有 Tornado Cash 官方警告或具名安全研究人员独立核实域名被接管的说法。