Seorang pengguna Ethereum dilaporkan harus menanggung kerugian 1.010 ETH hanya karena satu klik pada tautan lama yang tersimpan di peramban. Namun, data onchain baru mengonfirmasi perpindahan 810 ETH, setara $1,86 juta, yang tersedot ke dompet pelaku peretasan dalam rentang waktu sembilan menit pada 18 Agustus, persisnya antara pukul 05:56 hingga 06:05 UTC. Pemindahan aset bernilai tinggi ini terjadi lewat sembilan kali transaksi beruntun, yang terdiri dari delapan transfer masing-masing sebesar 100 ETH dan satu transfer 10 ETH. Selisih 200 ETH antara laporan awal korban dan jejak onchain ini belum bisa dipastikan keberadaannya lewat penelusuran independen. Dompet pelaku peretasan itu sendiri masih menahan utuh 810 ETH hasil curian ini hingga berita ini diturunkan.
Bagaimana Domain Sah Bisa Beralih Tuan
Laporan dari komunitas menyebutkan bahwa insiden ini bermula dari kebiasaan pengguna yang mengakses situs melalui bookmark lawas menuju tornado.cash. Domain populer ini diduga kuat sempat berstatus kedaluwarsa ketika tim pengembang proyek sedang dilanda gangguan operasional akibat tekanan sanksi pemerintah Amerika Serikat. Momen kekosongan kendali ini diyakini dimanfaatkan oleh pihak penyerang untuk meregistrasi ulang nama domain ini. Setelah berhasil mengambil alih, mereka memasang antarmuka palsu yang didesain menyerupai aslinya demi mengecoh pengunjung yang kembali datang.
Klaim peralihan kepemilikan domain ini belum mendapat konfirmasi resmi dari otoritas independen mana pun. Jika diakses hari ini, tautan ini memang masih menampilkan antarmuka standar Tornado Cash, sehingga wajar jika pengguna awam tidak menaruh curiga sama sekali. Modus yang dipakai penyerang menargetkan hal paling krusial: antarmuka palsu ini diprogram khusus untuk mencegat deposit note atau catatan setoran rahasia milik pengguna Tornado Cash. Begitu catatan rahasia ini terekam di sistem jebakan, penyerang langsung bergerak mencairkan dana jauh sebelum sang korban asli menyadari apa yang terjadi dan sempat menyelamatkan asetnya sendiri.
Bukan Serangan Pertama di Antarmuka
Jebakan di lapis depan ini mengingatkan pada rentetan masalah yang pernah menghantam ekosistem Tornado Cash. Pada 2024 lalu, seorang peneliti keamanan dengan nama samaran Gas404 menemukan adanya sisipan JavaScript berbahaya yang ditanam ke dalam kode antarmuka open source milik proyek ini. Perusahaan keamanan Checkmarx saat itu ikut mendokumentasikan temuan ini sebagai kasus kompromi rantai pasokan, membuktikan bahwa kode pihak ketiga pun bisa menjadi titik masuk eksploitasi.
๐ Baca JugaPelacak Kriminal ZachXBT Bongkar Sosok Wanita AS yang Kuras $5 Juta Lewat Modus CS Palsu - dan Ejek Korbannya
Tingkat kecurigaan komunitas kini meluas. Sebagian anggota komunitas bahkan mengklaim bahwa pelaku di balik peretasan terbaru ini merupakan pihak yang sama dengan penyerang yang telah meraup total hampir 4.000 ETH lewat metode serupa selama 12 bulan terakhir. Meski tuduhan berantai ini belum diverifikasi melalui jalur independen, insiden kehilangan ratusan keping ETH ini menjadi bukti nyata bahwa ancaman masih mengintai.
Bagi siapa pun yang berinteraksi dengan layanan pencampuran koin, verifikasi ulang kini menjadi harga mati. Mengandalkan riwayat atau tautan simpanan peramban terbukti bisa berujung fatal. Pengguna sangat disarankan untuk selalu mengecek ulang keabsahan domain melalui berbagai saluran resmi proyek sebelum menautkan dompet atau memasukkan catatan rahasia. Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
