Tornado Cash 钓鱼攻击利用过期域名盗取 1,010 ETH

一名加密货币用户遭遇了利用曾与 Tornado Cash（受制裁的混币协议）有关联的官方域名过期漏洞发起的钓鱼攻击，损失超过 1,000 ETH。据 Wu Blockchain 报道，受害者点击了一个旧书签链接，该链接将其重定向至一个使用已废弃 tornado.cash 域名搭建的欺诈网站，进而引发了一场快速盗窃。攻击者在 12 小时内盗走了 1,010 ETH。由于 Tornado Cash 团队在美国财政部外国资产控制办公室（OFAC）实施制裁期间未能续费，该域名最终过期，而制裁实际上冻结了该项目执行包括域名注册在内的日常管理任务的能力。这起事件凸显了去中心化金融领域日益增长的风险：当一个协议的网络基础设施因监管限制而悄然脱离其控制时，信任熟悉链接的用户可能会直接落入攻击者设置的陷阱。攻击者会注册这些被弃用的域名，并搭建足以乱真的虚假前端，以窃取凭证和资金。

钓鱼攻击通过虚假 Tornado Cash 前端盗走 1,010 ETH

受害者重复使用了一个旧书签链接，以为该链接指向合法的 Tornado Cash 门户，但该链接已不再指向真正的协议。相反，据 Wu Blockchain 引述的社区报告称，该链接通向了一个仿冒网站，网站由悄然接管过期域名的攻击者控制。受害者与虚假平台互动并提交存款凭证后，攻击者迅速采取行动。在 12 小时内，黑客从受影响的钱包中盗走了 1,010 ETH。这起盗窃完全利用了用户对一个熟悉且曾经属于官方的网络地址的信任。

这次攻击的机制简单，但执行效果显著。原始 tornado.cash 域名可供注册后，钓鱼者注册了该域名，并搭建了一个模仿真实界面的克隆前端。任何人在该虚假网站上输入存款凭证，都会将资金提取所需的信息直接交给攻击者。随后，攻击者无需直接攻破任何智能合约或钱包，便能够转走资金。

OFAC 制裁阻止域名续费，为攻击者接管创造条件

这起过期域名攻击源于一项监管决定，而非技术故障。Tornado Cash 的原始网址在项目团队未能续费后过期，而这次过期发生时，该协议仍受到美国财政部外国资产控制办公室（OFAC）的制裁。制裁实际上冻结了项目正常运营的能力，包括续费域名等基本管理任务。注册期限结束后，该域名进入公开市场，攻击者迅速将其抢注，把合规后果转变成了攻击载体。

当监管压力扰乱一个协议维护基本网络基础设施的能力时，就会为随时准备利用这些漏洞的不法分子创造可乘之机。OFAC 对 Tornado Cash 实施制裁的目的是遏制非法资金流动，但这些制裁带来的后果似乎促成了新一轮盗窃，目标是那些仍在尝试访问该平台的普通用户。

过去 12 个月通过过期域名方案盗走近 4,000 ETH

这起案件并非孤立事件。对受害者资金的追踪显示，被盗的 1,010 ETH 主要存放在由黑客控制的地址中，据称同一团伙还负责更大规模的盗窃活动。据 Wu Blockchain 报道，过去 12 个月内，该团伙通过与同一过期域名基础设施相关的类似手段，已经盗走了近 4,000 ETH。

这一规模使得这起事件不再像一次性诈骗，而更像是一场持续进行的行动。每名新受害者可能都会经历相同的路径：一个旧链接、一个看起来熟悉的网站，以及在任何人察觉之前快速且悄无声息的资金流失。这种钓鱼模式反复出现，表明攻击者已经找到了一套可靠的套路，也没有太大动力停手。

对于更广泛的加密行业而言，这起事件有力地提醒人们，区块链安全不仅关乎智能合约审计或钱包安全。网络域名、DNS 记录以及传统互联网基础设施的其他组成部分仍然是薄弱环节，尤其是对于那些在法律或监管限制下运营、维护这些基础设施的能力受限的协议。当一个受制裁项目失去对自身门户的控制时，信任旧书签或搜索结果的用户可能会毫无预警地直接落入陷阱。

常见问题

Tornado Cash 遭遇的钓鱼攻击是如何发生的？

攻击者接管了过期的官方域名 tornado.cash，搭建了虚假前端，并在用户访问钓鱼网站时窃取其存款凭证。

为什么 Tornado Cash 的域名会被攻击者获得？

Tornado Cash 团队在 OFAC 制裁期间未能续费官方域名 tornado.cash，使攻击者能够在该域名过期后注册它。

过去 12 个月内，有多少以太坊通过过期域名被盗？

据 Wu Blockchain 引述的追踪信息，过去 12 个月内，已有近 4,000 ETH 通过与该域名相关的类似钓鱼手段被盗。