El explotador del oráculo de Pando Rings reaparece y redirige ETH a Tornado Cash

La billetera asociada con el hackeo del oráculo Pando Rings de 2022 fue reactivada el 18 de agosto después de dos meses de inactividad, según informó el rastreador de blockchain tracLens. El hacker intercambió 3 millones de DAI por aproximadamente 1.570 ETH, con un valor aproximado de tres millones de dólares, a través del protocolo CoW.

Se sabe que aproximadamente 800 ETH, con un valor aproximado de 1,52 millones de dólares, ya han llegado a Tornado Cash a través de ocho transacciones desde esta billetera.

Si bien la acción en sí puede parecer relativamente menor, la historia del suceso es de gran importancia. Casi cuatro años después deldent en el que se manipuló un sistema de precios para desviar fondos de Pando Rings, el estafador continúa moviendo el dinero, que aún puede trachasta el fraude original.

La manipulación de oráculos, que en su momento fue una causa importante de pérdidas en DeFi, se ha eliminado prácticamente por completo gracias a las mejoras en el desarrollo de protocolos.

Un oráculo que interpretó erróneamente su propia garantía

El 5 de noviembre de 2022, Pando Rings fue hackeado. El hacker logró cambiar el precio del token de liquidez sBTC-WBTC en 4swap, que es el creador de mercado automatizado de Pando, y utilizó esta manipulación de precios en un intento de sustraer criptomonedas por valor de 70 millones de dólares.

Para cuando el equipo tomó medidas, ya habían desaparecido alrededor de 21,9 millones de dólares en ETH, EOSy BTC de dos monederos Mixin controlados por el hacker.

No se perdieron todos los activos. Pando colaboró ​​con Mixin Network y la empresa de ciberseguridad SlowMist para bloquear el resto de los fondos. Los activos congelados incluyen 2.022.662 monedas EOS , valoradas en aproximadamente 2,36 millones de dólares, así como otros tokens con una valoración total superior a los 50 millones de dólares.

La empresa suspendió sus servicios, a saber, Pando Rings, 4swap, Pando Leaf y Pando Lake, hasta que se solucione el problema del sistema, y ​​aseguró que reembolsaría a todos los clientes.

Desde comprar la salsa hasta coger la batidora

La misma dirección ha reaparecido intermitentemente desde entonces. Según un informe de Lookonchain publicado el 6 de junio, la misma persona realizó una transacción por valor de 10 millones de DAI para comprar un total de 6243 ETH a un precio promedio de 1602 dólares. Posteriormente se añadió que «incluso el hacker está comprando cuando baja el precio de ETH».

La compra realizada y el intercambio de esta semana evidencian una estrategia bien conocida: convertir las stablecoins robadas en Ether en el momento oportuno y esperar el momento ideal para seguir adelante. Lo que cambió el 18 de agosto fue la ubicación final.

En lugar de conservar el token Ether, el delincuente comenzó a enviarlo a través de Tornado Cash, un servicio que se utiliza para ocultar la conexión entre los fondos depositados y retirados. Hasta el momento, el monto de los depósitos en el mezclador asciende a 800 Ether, realizados en ocho transacciones.

Por qué los fondos mixtos siguen siendo visibles

Aunque una persona envíe dinero a través de Tornado Cash, eso no significa que se pierda el rastro. TRM Labs tracel ataque de junio en el que una persona retiró aproximadamente 664 ETH de Tornado Cash y los utilizó para tomar el control de un pequeño Ethereum conocido como TOP. Este caso revela cómo las operaciones de mezcla de criptomonedas pueden indicar riesgo incluso si el rastro directo de la transacción es difícil de seguir.

La situación jurídica de Tornado Cash ha cambiado. Si bien fue sancionado por el Tesoro de los Estados Unidos en agosto de 2022, fue retirado de la lista de sanciones inteligentes inmutablestracno pueden clasificarse como "propiedad" sujeta a legislación sancionadora.

Su uso como mezclador Ethereum significa que las grandes transferencias que pasan por el protocolotraccierta atención en lugar de simplemente desaparecer.

Un protocolo que se está desactivando a medida que su atacante se mueve

El momento elegido resulta interesante. Tan solo tres días antes de que la billetera se pusiera en funcionamiento, Pando anunció el 15 de agosto que descontinuaría el protocolo y pondría sus DeFi en modo de mantenimiento bajo la supervisión de Mixin. En este momento, Pando Rings solo sirve para respaldar el reembolso de préstamos y el retiro de garantías.

Mientras tanto, incidentesdentel de Pando ya no son comunes. El análisis de pérdidas de seis años de Immunefi reveló que los ataques de tipo ecosistema, como la manipulación de oráculos de préstamos flash, disminuyeron de casi el 19 % de los DeFi pérdidasdenten 2022 a menos del 1 % en 2025.

Como resultado, el atacante de Pando es un vestigio de una época anterior en la seguridad DeFi , que aún se beneficia de una debilidad que la industria en su conjunto ha logrado sortear mediante el uso de cadenas de bloques.

Ángulo de seguridad más amplio

El momento en que Pando anunció el 15 de agosto la desactivación de su protocolo merece ser analizado junto con la reactivación de la actividad del atacante. No se trata simplemente de un antiguo hackeo de 2022 que resurge. Esto ilustra la naturaleza persistente de las vulnerabilidades DeFi , donde los activos robados pueden permanecer inactivos durante años y reactivarse cuando cambian las condiciones del mercado, la liquidez o las rutas de lavado de dinero.

Estas transacciones ilustran cómo las criptomonedas robadas pueden permanecer inactivas durante largos periodos antes de ser convertidas, consolidadas o transferidas a través de infraestructuras de privacidad. Ese es un camino que los defensores bien podrían seguir.