Tornado Cash钓鱼前端盗取用户1010枚以太坊

有用户点击TornadoCash旧书签链接误入钓鱼网站，点开之后提款凭证被盗，一共亏了1010枚以太坊。这次不是合约被黑客攻破，骗子做了一模一样的假网页，偷取用户的提款凭证。此外，数据显示过去一年同类钓鱼攻击累计盗取近 4000 枚以太坊。下面小编简单梳理了以太坊用户因点击过时的Tornado Cash书签而被钓鱼、损失约1,010枚ETH的事件。

一名加密货币用户因点击旧的Tornado Cash书签链接进入钓鱼页面，被盗取用于提取存款资产的私钥凭证，最终损失1010枚以太坊（ETH）。

受害者将以太坊存入了Tornado Cash的正规合约，但恶意前端获取了存款过程生成的私密凭证。攻击者随后利用该凭证，在约12小时内提走资产，整个过程并未攻破TornadoCash底层智能合约。

钓鱼页面专门窃取提款私密凭证

Tornado Cash依靠零知识证明实现存款与提款隔离。每笔存款会生成一份私密凭条，凭条掌控后续提款权限，持有这份凭条即可提取对应资产。

恶意前端复刻了协议界面，并在受害者完成提款操作前窃取凭证。据悉，在美国相关制裁引发业务动荡期间，Tornado Cash旧域名到期失效，这条过时书签将用户导向被劫持的钓鱼页面。

本次攻击和此前一起案件高度相似：zkLend攻击者在转移从借贷协议盗取的资金时，遭遇虚假Tornado Cash前端骗局，损失2930枚以太坊。过去12个月，与该钓鱼站点相关的盗币事件累计被盗近4000枚以太坊。

9笔可追踪提款记录涉及810枚以太坊

本次报案损失总额为1010枚以太坊，公开可追踪的提款流水共9笔，合计810枚。剩余200枚以太坊暂未追溯至同一条明确资金流向。

以太坊用户持续遭遇各类钓鱼盗币攻击。7月，一名用户签署恶意代币授权，允许攻击者划转钱包内资产，在未泄露私钥的情况下，被盗走价值999,999美元的USDT。另一起钓鱼事件中，多名Polymarket pUSD持有者点击恶意链接、完成签名或授权操作，平台用户合计被盗约294万美元。

本次Tornado Cash攻击模式有所区别：以太坊资金确实进入了合规隐私混币合约，但前端窃取提款凭条，导致用户失去资产控制权。

受害资金源头关联比特币混币工具Whirlpool

受害钱包大约两周前从比特币混币工具Whirlpool收到73枚比特币，价值约460万美元，其中部分资产随后兑换转入以太坊，并存入Tornado Cash。

该用户称转移这批比特币，是出于对Coldcard钱包安全性的担忧。链上记录同时显示，该账户曾加入专注于私钥搜寻、暴力破解工具的Telegram群组。交易记录引发猜测：受害者自身可能参与过高风险加密活动。

Tornado Cash已于2025年3月21日被移出美国财政当局制裁清单。目前官方访问渠道为app.tornado.cash，同时支持ENS域名与IPFS镜像节点接入协议。