Ethereum User Loses 1010 Eth Tornado Cash Phishing

Imaginez ouvrir un simple favori enregistré dans votre navigateur, comme vous l’avez fait des dizaines de fois auparavant, et découvrir quelques heures plus tard que plus de mille ethereum ont purement et simplement disparu. C’est exactement ce qui serait arrivé à un utilisateur d’Ethereum le 18 août 2026. Une histoire qui circule intensément dans les cercles crypto depuis ce matin, et qui soulève bien plus de questions qu’elle n’apporte de réponses définitives.

Une perte de 1010 ETH signalée après un bookmark compromis

Selon plusieurs comptes communautaires, un utilisateur aurait cliqué sur un ancien lien Tornado Cash enregistré dans ses favoris. Ce lien, qui pointait vers le domaine tornado.cash, l’aurait redirigé vers une interface frauduleuse. Les attaquants auraient capturé les notes de dépôt privées et vidé les fonds en un temps record. Le total annoncé s’élève à 1010 ETH, soit un peu plus de 2,3 millions de dollars au cours du moment.

Pourtant, les données on-chain ne racontent pas exactement la même histoire. L’adresse citée a bien reçu 810 ETH en neuf transactions le 18 août, entre 5 h 56 et 6 h 05 UTC. Huit transferts de 100 ETH et un dernier de 10 ETH. Au moment où les premiers rapports ont été publiés, ce portefeuille affichait encore ces 810 ETH, valorisés autour de 1,86 million de dollars.

Les transactions on-chain ne mentent pas, mais elles ne disent pas tout

Les neuf transferts enregistrés le 18 août sont publics et vérifiables. Ils arrivent sur une adresse qui, jusqu’alors, n’avait quasiment aucune activité notable. Ce détail n’est pas anodin. Les attaquants professionnels préfèrent souvent utiliser des portefeuilles fraîchement créés pour recevoir les fonds volés, afin de compliquer le traçage ultérieur.

Le problème, c’est que les 200 ETH manquants n’apparaissent nulle part dans les preuves fournies. Soit ils ont été envoyés vers une autre adresse non mentionnée, soit le chiffre de 1010 ETH a été surestimé dès le départ. Dans les deux cas, la communauté a tendance à reprendre les montants les plus élevés sans toujours croiser les données blockchain.

À l’heure où ces lignes sont écrites, l’adresse détient toujours les 810 ETH. Aucun mouvement vers un exchange n’a encore été observé. Cela laisse une fenêtre, même étroite, pour une éventuelle intervention des plateformes si les fonds y arrivent un jour.

Le domaine tornado.cash au cœur des soupçons

Plusieurs posts affirment que le domaine officiel aurait expiré suite aux sanctions américaines qui ont touché Tornado Cash. Un attaquant aurait alors racheté le nom et installé une interface malveillante. L’idée est séduisante, car elle explique parfaitement pourquoi un bookmark ancien a pu devenir dangereux.

Sauf que personne n’a pu le prouver de manière indépendante. Lorsque le site a été consulté, il affichait bien une interface Tornado Cash. Aucun enregistrement de domaine public, aucun communiqué officiel, aucun rapport d’un chercheur en sécurité n’a confirmé un changement de propriétaire récent. Les affirmations restent donc au stade de rumeurs bien construites.

Un site qui charge correctement aujourd’hui ne prouve rien sur ce qu’il affichait il y a quarante-huit heures. Les attaquants savent parfaitement nettoyer leurs traces après avoir collecté les informations sensibles.

Ce type de manœuvre, appelée parfois domain takeover, n’est pas nouvelle dans le monde crypto. Les projets abandonnés ou placés sous sanctions laissent souvent des noms de domaine orphelins. Les phishingers les guettent avec attention, car ils conservent le capital de confiance accumulé au fil des années.

Pourquoi les notes de dépôt de Tornado Cash sont si dangereuses

Contrairement à une simple signature de transaction malveillante, le mécanisme de Tornado Cash repose sur des notes de dépôt privées. Ces notes fonctionnent comme une clé secrète : quiconque les possède peut retirer les fonds correspondants du pool. Il n’y a pas besoin d’approbation de portefeuille, ni de signature visible. Il suffit de connaître la note.

Une fausse interface peut donc capturer ces informations au moment où l’utilisateur pense déposer ou retirer. Une fois la note en main, l’attaquant n’a plus qu’à se précipiter pour retirer les fonds avant le véritable propriétaire. C’est un vol silencieux, rapide, et particulièrement difficile à intercepter une fois lancé.

Ce mode opératoire diffère radicalement des drainers classiques qui demandent une signature de transaction. Ici, l’utilisateur n’a même pas besoin de signer quoi que ce soit. Il suffit qu’il colle sa note dans un formulaire qui semble légitime.

Les bookmarks anciens, un piège sous-estimé

Beaucoup d’utilisateurs expérimentés gardent des favoris pour les protocoles qu’ils fréquentent régulièrement. C’est pratique, rapide, et cela évite de retaper l’adresse à chaque fois. Le problème commence lorsque le projet change d’infrastructure, que le domaine expire, ou que l’équipe ne renouvelle plus le nom.

Dans le cas de Tornado Cash, les sanctions américaines de 2022 ont créé une situation particulière. L’équipe originelle a été largement désorganisée. Les mises à jour de l’interface et la gestion des domaines ont pu souffrir de ce contexte. Un bookmark enregistré en 2023 ou 2024 pouvait parfaitement pointer vers un nom de domaine devenu orphelin.

Les utilisateurs les plus prudents vérifient systématiquement l’URL dans la barre d’adresse et croisent les informations via plusieurs canaux officiels. Malheureusement, la confiance dans un favori ancien reste encore très répandue.

Les précédents de sécurité autour de Tornado Cash

Ce n’est pas la première fois que l’écosystème Tornado Cash est confronté à des problèmes d’interface. En 2024, un chercheur avait déjà découvert que du code JavaScript malveillant avait été injecté dans une version open-source de l’interface. Ce code pouvait potentiellement exposer les notes de dépôt des utilisateurs.

L’affaire avait été documentée par plusieurs sociétés de sécurité. Elle montrait que même les projets décentralisés restent vulnérables dès qu’il s’agit de la couche frontend. Les contrats intelligents peuvent être auditables et sécurisés, mais l’interface utilisateur reste souvent le maillon faible.

Rien n’indique pour l’instant que l’incident d’août 2026 soit lié à cette compromission de 2024. Les méthodes semblent différentes. Mais le précédent rappelle que la vigilance autour des interfaces Tornado Cash n’est pas nouvelle.

La rumeur des 4000 ETH volés sur douze mois

Certains comptes vont plus loin et affirment que le même groupe d’attaquants aurait siphonné près de 4000 ETH au cours de l’année écoulée via des méthodes similaires. Le chiffre impressionne. Il représente plus de neuf millions de dollars aux cours actuels.

Le problème, c’est qu’aucune liste d’adresses, aucun hash de transaction, aucun rapport d’attribution n’accompagne cette affirmation. Sans éléments concrets, il est impossible de vérifier si ces 4000 ETH existent réellement ou s’ils relèvent de l’exagération. La blockchain montre où vont les fonds, mais elle ne dit pas automatiquement qui contrôle chaque adresse ni quelle campagne de phishing est responsable.

Pour l’instant, la seule chose solide reste les 810 ETH visibles sur l’adresse citée. Tout le reste relève de la spéculation, même si elle est plausible.

Que faire si l’on a interagi avec une interface suspecte

Les utilisateurs qui auraient récemment utilisé un frontend Tornado Cash doivent agir rapidement. La première chose consiste à ne plus jamais se connecter à cette interface. Ensuite, il faut déplacer les fonds non compromis vers un nouveau portefeuille généré à partir d’une seed phrase fraîche.

Les approvals de tokens doivent également être révoqués via des outils dédiés. Même si l’attaque sur Tornado Cash ne repose pas principalement sur des approvals, d’autres interactions malveillantes peuvent avoir eu lieu en parallèle.

Enfin, conserver l’historique de navigation, les captures d’écran des URLs, les logs de portefeuille et les hashes de transactions est essentiel. Ces éléments peuvent servir en cas de signalement auprès d’exchanges ou d’autorités compétentes.

Les limites de la traçabilité après un mixeur

Une fois les fonds sortis de Tornado Cash, le traçage devient nettement plus complexe. C’est précisément l’intérêt du protocole. Les 810 ETH visibles aujourd’hui pourraient être redistribués en de multiples petits transferts, mélangés avec d’autres dépôts, ou envoyés vers des bridges inter-chaînes.

Les exchanges centralisés restent le principal point de friction pour les attaquants. Si les fonds y arrivent, les plateformes disposent théoriquement de procédures pour geler les avoirs suspects. En pratique, cela dépend de la rapidité de la signalisation et de la coopération des équipes de conformité.

Dans de nombreux cas similaires, les fonds finissent par être dispersés avant d’être entièrement gelés. La fenêtre d’opportunité est souvent très courte.

Un contexte plus large de vulnérabilités frontend

L’affaire s’inscrit dans une tendance plus large. Les attaques ciblant les interfaces utilisateur se multiplient depuis plusieurs années. Les contrats intelligents sont de mieux en mieux audités, les bugs critiques se raréfient, mais les frontends restent une cible privilégiée.

Les utilisateurs font confiance à une URL familière, à un design connu, à un nom de domaine qu’ils reconnaissent. Les attaquants exploitent précisément cette confiance. Ils n’ont pas besoin de casser la cryptographie. Il leur suffit de se placer entre l’utilisateur et le protocole.

Les projets les plus matures multiplient désormais les canaux de vérification : listes d’adresses officielles sur GitHub, messages signés sur des réseaux sociaux vérifiés, interfaces miroir hébergées sur des domaines alternatifs. Pourtant, beaucoup d’utilisateurs continuent de se fier uniquement à leur barre d’adresse ou à leurs favoris.

Ce que révèle cet incident sur la culture de sécurité crypto

L’histoire des 1010 ETH, même partiellement confirmée, met en lumière un décalage persistant. D’un côté, des protocoles de plus en plus sophistiqués. De l’autre, des pratiques utilisateurs qui restent parfois trop optimistes.

Conserver un bookmark pendant des années sans jamais vérifier si le domaine est toujours contrôlé par l’équipe légitime, c’est prendre un risque mesurable. Dans un environnement où les domaines peuvent changer de mains, où les projets peuvent disparaître ou être sanctionnés, la vérification active devient indispensable.

Les notes de dépôt de Tornado Cash accentuent encore ce risque. Elles sont conçues pour être privées et portables. Toute interface capable de les capturer devient un point de défaillance critique.

Les prochaines étapes à surveiller

Dans les heures et jours qui viennent, plusieurs éléments mériteront une attention particulière. D’abord, le devenir des 810 ETH actuellement visibles. Tout mouvement vers un exchange centralisé pourrait ouvrir une possibilité de gel. Ensuite, d’éventuelles déclarations officielles de la part de chercheurs en sécurité ou d’équipes proches de Tornado Cash.

Il faudra aussi surveiller si d’autres adresses commencent à recevoir des montants similaires. Si le mode opératoire se répète, cela renforcerait l’hypothèse d’une campagne structurée plutôt que d’un incident isolé.

Enfin, la communauté attend des clarifications sur le statut réel du domaine tornado.cash. Tant que ce point n’est pas tranché de manière indépendante, le doute continuera de planer.

Les leçons pratiques pour tous les utilisateurs

Au-delà du cas précis, cet événement rappelle quelques règles de base qui restent trop souvent négligées. La première consiste à traiter tout bookmark ancien avec méfiance. Un simple clic droit pour vérifier l’URL réelle avant de se connecter peut éviter des catastrophes.

La deuxième règle concerne les informations sensibles. Une note de dépôt Tornado Cash ne doit jamais être collée dans un formulaire sans une double, voire triple vérification de la source. Mieux vaut prendre cinq minutes de plus que de perdre un an de gains.

La troisième règle est organisationnelle. Séparer les fonds entre plusieurs portefeuilles, utiliser des adresses de réception distinctes, et ne jamais stocker l’intégralité de ses actifs dans un environnement exposé aux interactions web reste une discipline essentielle.

Enfin, suivre les canaux officiels des projets que l’on utilise, même de façon irrégulière, permet de détecter plus tôt les changements d’infrastructure ou les alertes de sécurité.

Un rappel que la confiance n’est jamais acquise

Dans l’écosystème crypto, la confiance est un bien fragile. Elle se construit sur des audits, des années de fonctionnement sans incident majeur, et une communauté attentive. Elle peut disparaître en quelques heures dès qu’un maillon de la chaîne faiblit.

Tornado Cash a longtemps représenté l’outil de confidentialité le plus abouti sur Ethereum. Les sanctions, les poursuites judiciaires et les difficultés opérationnelles ont progressivement fragilisé son écosystème. Les attaquants ont su tirer parti de cette fragilité.

Que le chiffre exact soit 810 ou 1010 ETH, le message reste le même. Les interfaces utilisateurs constituent aujourd’hui l’un des vecteurs d’attaque les plus rentables. Et les bookmarks anciens font partie des angles morts les plus sous-estimés.

La suite de cette affaire dépendra largement de la capacité de la communauté à documenter précisément les mouvements de fonds et à identifier d’éventuelles nouvelles victimes. En attendant, la prudence reste la seule protection réellement efficace.

Les 810 ETH visibles sur l’adresse suspecte constituent pour l’instant le seul élément tangible. Tout le reste, domaine expiré, campagne de 4000 ETH, responsabilité précise des attaquants, reste à confirmer. Dans un univers où les rumeurs circulent plus vite que les preuves, savoir distinguer les deux est déjà un premier acte de sécurité.