Seorang pengguna kehilangan lebih dari 1.000 $ETH akibat serangan phishing melalui domain resmi Tornado Cash yang sudah kedaluwarsa. Hal ini dilaporkan oleh akun Wu Blockchain di platform media sosial X pada 20 Agustus 2026.
Domain tersebut sebelumnya dimiliki oleh tim protokol, namun kepemilikannya berakhir setelah pengembang tidak memperpanjang pendaftarannya di tengah sanksi dari Kantor Pengawasan Aset Asing Amerika Serikat (OFAC). Pelaku kejahatan memanfaatkan situasi ini: mereka mendaftarkan alamat yang kosong itu dan menggelar frontend palsu yang secara visual meniru antarmuka asli Tornado Cash. Melalui situs palsu ini, para peretas mendapatkan akses ke catatan deposit pengguna — data yang diperlukan untuk menarik dana dari pool protokol. Akibatnya, 1.010 $ETH berhasil ditarik oleh pelaku kejahatan dalam waktu 12 jam.
Menurut korban, koin yang dicuri sebagian besar berakhir di dompet digital para penyerang, dan kelompok tersebut dalam 12 bulan terakhir diduga telah mencuri sekitar 4.000 $ETH dengan cara yang sama.
Ke Mana Koin Curian Mengalir
Salah satu alamat yang terkait dengan penarikan dana adalah 0xd8B356356d7B143D7ece9F5876FE4b954E93b745. Etherscan menunjukkan bahwa pada saat pemeriksaan, saldo dompet tersebut sekitar 810,1 $ETH. Dana tersebut masuk melalui sembilan transaksi penarikan dari pool Tornado Cash pada 18 Agustus 2026 — delapan operasi senilai 100 $ETH dan satu operasi senilai 10 $ETH.
Analis Meragukan Status Korban
Analis on-chain Specter menyatakan bahwa kisah pencurian ini tidak sesederhana yang disampaikan oleh pihak yang mengaku korban. Menurut versinya, orang yang menyebut diri sebagai korban mungkin terkait dengan aktivitas ilegal, dan koin yang dicuri kemungkinan berasal dari sumber yang meragukan.
Korban menjelaskan tindakannya sebagai berikut: dompet keras Coldcard miliknya dikompromikan, sehingga ia buru-buru mentransfer aset dari Bitcoin ke Ethereum untuk menyelamatkannya. Namun, data blockchain menceritakan kisah yang berbeda. Dua minggu sebelum serangan, alamatnya menerima 73 BTC (sekitar $4,6 juta) — dan dana itu berasal dari layanan Whirlpool, yang biasa digunakan untuk mengaburkan asal-usul koin dan menyembunyikan pihak yang melakukan transfer. Sebagian dana ini kemudian dikonversi ke Ethereum dan ditransfer melalui situs tiruan Tornado Cash — yaitu tepat ke tempat yang kemudian menjadi sumber "pencurian".
Specter menekankan: jika seseorang benar-benar menyelamatkan uang dari peretasan, tidak perlu mengalirkannya melalui berbagai layanan untuk mengaburkan jejak. Selain itu, menurut datanya, pengguna yang sama merupakan anggota grup Telegram tempat cara meretas dompet orang lain dan mencoba kata sandi dibagikan. Semua ini, menurut analis, lebih mirip konflik antara dua kelompok pelaku kejahatan daripada kisah korban phishing yang tidak disengaja.
Apa yang Diketahui tentang Domain
Menurut data WHOIS, domain tornado.cash didaftarkan pada 25 Maret 2025 dan diperbarui pada 12 Agustus 2026, masa berlakunya akan berakhir pada 25 Maret 2027. Pendaftarnya adalah TLD Registrar Solutions Ltd., dan data pemilik saat ini disembunyikan oleh layanan Whois Privacy Corp.
Insiden ini menunjukkan bagaimana kedaluwarsanya domain yang pernah dimiliki oleh protokol besar dapat menjadi ancaman langsung bagi pengguna yang terus mengunjungi tautan lama yang tersimpan. Sementara itu, asal-usul dana curian dan status pihak yang mengaku korban tetap menjadi subjek penyelidikan terpisah berdasarkan data on-chain.
Pendapat AI
Dari sudut pandang analisis data mesin, kasus ini sesuai dengan statistik yang lebih luas tentang kerugian pasar kripto akibat rekayasa sosial. Analisis Hash Telegraph menunjukkan bahwa pada tahun 2025, pasar kehilangan lebih dari $1,8 miliar akibat penipuan dan eksploitasi, di mana sebagian besar kerugian bukan disebabkan oleh peretasan teknis, melainkan karena meyakinkan korban untuk mengunjungi tautan yang familiar namun telah dikompromikan — persis seperti yang terjadi dengan tautan lama tornado.cash.
Aspek teknis yang tidak dibahas dalam artikel — yaitu hakikat kedaluwarsa domain sebagai vektor serangan: protokol secara resmi menolak memperpanjang alamat di tengah sanksi OFAC, namun reputasi domain di mesin pencari dan ingatan pengguna tetap bertahan selama bertahun-tahun. Kesenjangan seperti ini antara status hukum domain dan kepercayaan audiens dapat terulang pada proyek-proyek lain yang terkena pembatasan. Akankah praktik "warisan domain" tetap menjadi zona berisiko bagi pengguna DeFi setelah kasus ini?
end-content
