Un utilisateur a perdu plus de 1 000 $ETH en raison d'une attaque de phishing via l'ancien domaine officiel expiré de Tornado Cash. C'est ce qu'a rapporté la ressource Wu Blockchain sur le réseau social X le 20 août 2026.
Le domaine appartenait auparavant à l'équipe du protocole, mais a cessé de lui appartenir après que les développeurs n'ont pas renouvelé l'enregistrement, suite aux sanctions du Bureau de contrôle des actifs étrangers américain (OFAC). Des malfaiteurs en ont profité : ils ont enregistré l'adresse libérée et y ont déployé un front-end contrefait, reproduisant visuellement l'interface originale de Tornado Cash. Via le faux site, les pirates ont obtenu l'accès aux notes de dépôt de l'utilisateur — les données nécessaires pour retirer des fonds des pools du protocole. En conséquence, 1 010 $ETH ont été retirés par les malfaiteurs en l'espace de 12 heures.
Selon la victime, les pièces volées se sont principalement retrouvées dans les portefeuilles des attaquants, et le groupe aurait pu voler environ 4 000 $ETH de la même manière au cours des 12 derniers mois.
Où sont allées les pièces volées
L'une des adresses associées au retrait des fonds est 0xd8B356356d7B143D7ece9F5876FE4b954E93b745. Etherscan montre qu'au moment de la vérification, le solde du portefeuille était d'environ 810,1 $ETH. Les fonds sont arrivés via neuf transactions de retrait des pools de Tornado Cash le 18 août 2026 — huit opérations de 100 $ETH et une de 10 $ETH.
Un analyste doute du statut de victime
L'analyste on-chain Specter a souligné que l'histoire du vol ne semble pas aussi claire que la présente la personne concernée. Selon sa version, la personne se prétendant victime pourrait en réalité être liée à des activités illégales, et les pièces volées pourraient avoir une origine douteuse.
La victime a expliqué ses actions ainsi : son portefeuille matériel Coldcard avait été compromis, il a donc transféré précipitamment ses actifs du bitcoin vers l'Ethereum pour les sauver. Mais les données de la blockchain racontent une autre histoire. Deux semaines avant l'attaque, 73 BTC (environ 4,6 millions de dollars) sont arrivés sur ses adresses — et ils ne venaient pas de n'importe où, mais du service Whirlpool, utilisé pour brouiller l'origine des pièces et masquer qui les transfère et où. Une partie de ces fonds a ensuite été convertie en Ethereum et transférée via la copie contrefaite du site de Tornado Cash — c'est-à-dire exactement là où ils ont ensuite été « volés ».
Specter attire l'attention : si la personne sauvait réellement son argent d'un piratage, elle n'aurait pas eu besoin de le faire passer par plusieurs services différents pour brouiller les pistes. De plus, selon ses informations, le même utilisateur était membre de groupes Telegram où l'on échange des méthodes pour pirater les portefeuilles d'autrui et craquer leurs mots de passe. Tout cela, selon l'analyste, ressemble davantage à un conflit entre deux groupes de malfaiteurs qu'à une histoire de victime accidentelle de phishing.
Ce que l'on sait sur le domaine
Selon les données WHOIS, le domaine tornado.cash a été enregistré le 25 mars 2025 et mis à jour le 12 août 2026. Sa date d'expiration est le 25 mars 2027. Le bureau d'enregistrement est TLD Registrar Solutions Ltd., et les informations du propriétaire actuel sont masquées par le service Whois Privacy Corp.
Cet incident montre comment l'expiration du domaine d'un protocole autrefois majeur peut se transformer en une menace directe pour les utilisateurs qui continuent à utiliser leurs anciens marque-pages. Dans le même temps, l'origine des fonds volés et le statut de la victime elle-même font l'objet d'une enquête distincte basée sur les données on-chain.
L'opinion de l'IA
D'un point de vue d'analyse automatique des données, ce cas s'inscrit dans les statistiques plus larges des pertes du marché de la crypto dûes à l'ingénierie sociale. L'analyse de Hash Telegraph indique qu'en 2025, le marché a perdu plus de 1,8 milliard de dollars à cause d'escroqueries et d'exploits, la majorité des pertes étant survenues non pas à cause de piratages techniques, mais en persuadant la victime de cliquer sur un lien familier mais compromis — exactement comme cela s'est produit avec l'ancien marque-page vers tornado.cash.
L'aspect technique, resté hors champ de l'article, est la nature même de l'expiration de domaine comme vecteur d'attaque : le protocole a officiellement renoncé au renouvellement de l'adresse suite aux sanctions de l'OFAC, mais la réputation du domaine dans les moteurs de recherche et la mémoire des utilisateurs est restée intacte pour les années à venir. Un tel écart entre le statut juridique d'un domaine et la confiance du public pourrait se répéter avec d'autres projets soumis à des restrictions. La pratique de « l'héritage de domaine » restera-t-elle une zone à risque pour les utilisateurs DeFi après ce cas ?
end-content
