Tornado Cash é usado em golpe de phishing
Um usuário perdeu 1.010 ETH, equivalentes a aproximadamente US$ 2,4 milhões, depois de acessar uma interface falsa associada ao Tornado Cash. O caso foi divulgado em 20 de agosto de 2026 e envolve o domínio tornado[.]cash, endereço que anteriormente funcionava como porta de entrada para o serviço de mistura de criptomoedas.
O Tornado Cash opera por meio de contratos inteligentes na rede Ethereum. Mesmo depois das sanções aplicadas pelos Estados Unidos em 2022, os contratos continuaram funcionando porque não dependem exclusivamente de um site tradicional para operar.
O problema surgiu na camada de acesso ao serviço. Segundo os relatos reunidos pela reportagem, os desenvolvedores deixaram de renovar o domínio tornado[.]cash após as sanções, e o endereço teria posteriormente sido adquirido por golpistas.
A partir disso, o domínio passou a apresentar uma interface falsa de phishing. O objetivo, segundo as informações divulgadas, era induzir usuários a interagir com uma página controlada pelos invasores e entregar informações ou autorizações capazes de permitir o roubo dos ativos.
Domínio expirado virou porta de entrada
O detalhe central do caso é que a vítima aparentemente não procurou um endereço aleatório. Segundo informações compartilhadas pelo jornalista Colin Wu, o usuário teria acessado o site antigo do Tornado Cash a partir de um link que estava salvo em seus favoritos.
O domínio oficial havia expirado depois que a equipe do projeto não conseguiu renová-lo em meio às sanções da OFAC, sigla para o Escritório de Controle de Ativos Estrangeiros dos Estados Unidos. Depois da expiração, golpistas teriam registrado o endereço e colocado no ar uma página visualmente semelhante ao serviço original.
A situação cria um risco específico para usuários que mantêm favoritos antigos ou utilizam resultados de mecanismos de busca sem verificar o endereço. A reportagem afirma que Google e Bing continuavam apresentando o site supostamente fraudulento em posições de destaque para a busca por Tornado Cash.
Isso significa que uma pessoa poderia acreditar que encontrou o site oficial simplesmente porque o domínio aparece como primeiro resultado. No entanto, a existência do endereço nos mecanismos de busca não comprova que ele seja controlado pelos desenvolvedores originais.
1.010 ETH foram drenados em 12 horas
O caso envolveu uma movimentação de 1.010 ETH, com valor estimado em US$ 2,4 milhões. De acordo com os relatos citados por Colin Wu, os fundos foram drenados pelos invasores durante um período de aproximadamente 12 horas.
A reportagem também menciona que esse não seria um episódio isolado. Segundo uma publicação compartilhada nas redes sociais, um grupo teria conseguido roubar mais de 4.000 ETH, equivalentes a aproximadamente US$ 9,3 milhões, utilizando o mesmo tipo de golpe ao longo dos últimos anos.
A diferença entre os dois valores é importante: os 1.010 ETH correspondem ao caso específico que ganhou destaque agora, enquanto os mais de 4.000 ETH representam o montante atribuído ao grupo em diferentes episódios.
Para o investidor, o ponto mais importante é que o golpe não dependeu necessariamente de uma vulnerabilidade no contrato inteligente do Tornado Cash. O vetor descrito na reportagem foi a interface falsa, usada para enganar o usuário.
Vítima pode ter ligação com outros crimes
O caso ganhou uma segunda camada depois que o analista conhecido como Specter questionou a identidade da vítima. Segundo ele, os fundos podem não pertencer a um investidor comum e poderiam estar relacionados a atividades ilícitas.
Specter afirmou que a vítima teria movimentado 73 BTC, avaliados em US$ 4,6 milhões, que originalmente vieram de um mixer chamado Whirlpool cerca de duas semanas antes. Parte desses bitcoins teria sido transferida para Ethereum antes de chegar à falsa interface do Tornado Cash.
O analista também apontou que o mesmo indivíduo teria aparecido em grupos do Telegram relacionados à descoberta de chaves privadas e técnicas de brute force. Essas informações levaram Specter a levantar a possibilidade de que os fundos já tivessem origem suspeita.
A hipótese, porém, não deve ser tratada como fato confirmado. A própria reportagem apresenta a possibilidade como uma suspeita levantada pela comunidade, e não como uma conclusão definitiva sobre a identidade ou a origem dos fundos.
“Ladrão roubando ladrão” vira hipótese
A partir dessas movimentações, Specter levantou uma possibilidade incomum: a vítima poderia ser um agente malicioso que acabou sendo roubado por outro agente malicioso.
A análise considera estranho que alguém preocupado com um possível comprometimento de uma carteira de hardware tenha utilizado ferramentas de mistura de transações. Segundo Specter, a movimentação dos 73 BTC provenientes do Whirlpool e a posterior utilização de uma interface falsa do Tornado Cash poderiam indicar uma tentativa de dificultar o rastreamento dos recursos.
Em uma captura de tela compartilhada pelo analista, a possível vítima aparece no Telegram utilizando o nome “Thundra”. Ela teria afirmado ter acessado o site por meio do repositório do GitHub relacionado ao projeto.
A reportagem também mostra que o antigo site do Tornado Cash ainda aparecia associado ao repositório, que não era atualizado desde agosto de 2022. Isso pode ter contribuído para a percepção de que o endereço antigo continuava sendo uma referência legítima.
Ainda assim, a origem dos fundos não muda o mecanismo do golpe: um domínio antigo associado a um projeto conhecido foi reutilizado para criar uma falsa interface capaz de enganar usuários.
Phishing cripto exige atenção ao endereço
O caso deixa uma lição prática para quem movimenta Ethereum e outros ativos: um domínio conhecido no passado não significa que ele continue sob controle do mesmo projeto.
Isso é especialmente relevante para protocolos que sofreram sanções, encerraram sites, mudaram de domínio ou deixaram seus repositórios sem atualização. Um endereço antigo pode continuar aparecendo em favoritos, mensagens, documentos e resultados de busca muito tempo depois de deixar de ser confiável.
Antes de conectar uma carteira ou assinar qualquer transação, o usuário deve conferir cuidadosamente o domínio e a origem do link. Em operações envolvendo grandes quantias, também é prudente evitar acessar protocolos diretamente a partir de links antigos salvos no navegador.
Neste caso, o prejuízo chegou a US$ 2,4 milhões. A existência de outros relatos envolvendo mais de 4.000 ETH e US$ 9,3 milhões reforça que o problema não parece estar restrito a uma única vítima.
Para quem opera com Ethereum, a principal conclusão é objetiva: a segurança não termina na posse das chaves privadas. A interface usada para interagir com um protocolo também pode se tornar o ponto de entrada de um ataque, principalmente quando um domínio antigo passa a ser controlado por terceiros.
