Un pirate informatique utilisant l'oracle de Pando Rings refait surface et transfère de l'ETH vers Tornado Cash

Le portefeuille associé au piratage de l'oracle Pando Rings en 2022 a été réactivé le 18 août après deux mois d'inactivité, comme l'a rapporté le tracOnchain Lens. Le pirate a échangé 3 millions de DAI contre environ 1 570 ETH, soit l'équivalent d'environ trois millions de dollars, via le protocole CoW. Environ 800 ETH, d'une valeur d'environ 1,52 million de dollars, auraient déjà été transférés vers Tornado Cash via huit transactions depuis ce portefeuille.

Bien que l'action en elle-même puisse paraître mineure, son ampleur est loin d'être négligeable. Près de quatre ans après l'dent où un flux de prix a été manipulé pour vider les Pando Rings, le fraudeur continue de transférer les fonds, dont l'origine reste trac. Autrefois une cause majeure de pertes dans DeFi, la manipulation des oracles est aujourd'hui considérablement réduite grâce aux améliorations apportées au développement des protocoles.

Un oracle qui a mal interprété ses propres garanties

Le 5 novembre 2022, Pando Rings a été victime d'un piratage. Le pirate a réussi à modifier le prix du jeton de liquidité sBTC-WBTC sur 4swap, la plateforme de tenue de marché automatisée de Pando, et a utilisé cette manipulation pour tenter de dérober l'équivalent de 70 millions de dollars en cryptomonnaies. Avant même que l'équipe de sécurité ne réagisse, environ 21,9 millions de dollars en ETH, EOSet BTC avaient déjà été transférés depuis deux portefeuilles Mixin contrôlés par le pirate.

Certains actifs n'ont pas été perdus. Pando a collaboré avec Mixin Network et la société de cybersécurité SlowMist pour bloquer le reste des fonds. Les actifs gelés comprennent 2 022 662 jetons EOS , d'une valeur approximative de 2,36 millions de dollars, ainsi que d'autres jetons dont la valeur totale dépasse 50 millions de dollars. L'entreprise a suspendu ses services, notamment Pando Rings, 4swap, Pando Leaf et Pando Lake, jusqu'à la résolution du problème d'oracle, et a assuré le remboursement de tous ses clients.

De l'achat de la sauce au moment de prendre le mélangeur

La même adresse a refait surface à plusieurs reprises depuis. Selon un rapport de Lookonchain publié le 6 juin, cette même personne a effectué une transaction de 10 millions de DAI pour acheter un total de 6 243 ETH à un prix moyen de 1 602 $. Il a ensuite été ajouté que « même le pirate profite de la baisse du cours de l’ETH ».

L'achat effectué et l'échange de cette semaine révèlent une stratégie bien connue : convertir des stablecoins volés en ether au moment opportun, puis attendre le moment idéal pour passer à l'étape suivante. Le 18 août, la destination finale a changé. Au lieu de conserver les jetons ether en sa possession, le criminel a commencé à les transférer via Tornado Cash, un service permettant de masquer le lien entre les fonds déposés et retirés. À ce jour, le montant des dépôts via ce service s'élève à 800 ethers, répartis en huit transactions.

Pourquoi les fonds mixtes restent visibles

Même si une personne envoie de l'argent via Tornado Cash, il est possible de retracer l'opération. TRM Labs tracune attaque survenue en juin, au cours de laquelle une personne a retiré environ 664 ETH de Tornado Cash et les a utilisés pour prendre le contrôle d'un petit Ethereum appelé TOP. Ce cas illustre comment les opérations de mixage peuvent signaler un risque, même si la trace directe de la transaction est difficile à suivre.

Le statut juridique de Tornado Cash a évolué. Sanctionné par le Trésor américain en août 2022, il a été retiré de la liste des sanctions le 21 mars 2025 suite à une décision de la cour d'appel fédérale stipulant que les contrats intelligents immuablestracpeuvent être considérés comme des « biens » soumis à la législation sur les sanctions. Son utilisation comme Ethereum implique que les transferts importants transitant par ce protocole attireronttracattention au lieu de disparaître.

Un protocole qui s'interrompt tandis que son attaquant se déplace

Le timing est intéressant. Trois jours seulement avant l'activité du portefeuille, Pando annonçait , le 15 août, l'arrêt de son protocole et la mise en maintenance de ses DeFi sous la supervision de Mixin. À présent, Pando Rings sert uniquement au remboursement des prêts et au retrait des garanties.

Entre-temps, lesdentcomme celui de Pando sont devenus rares. L'analyse des pertes sur six ans réalisée par Immunefi a révélé que les attaques ciblant l'écosystème, telles que la manipulation des oracles de prêts flash, sont passées de près de 19 % des DeFi de pertedenten 2022 à moins de 1 % en 2025.

De ce fait, l'exploiteur Pando est un vestige d'une époque révolue en matière de sécurité DeFi , profitant encore d'une faiblesse que l'ensemble du secteur a su contourner grâce à l'utilisation des blockchains.

Angle de sécurité plus large

L'annonce faite par Pando le 15 août concernant l'arrêt de son protocole mérite d'être analysée, parallèlement à la reprise d'activité du pirate. Il ne s'agit pas simplement d'une ancienne faille de 2022 qui refait surface. Cela illustre la persistance des failles de sécurité dans la finance décentralisée DeFi , où les actifs volés peuvent rester inactifs pendant des années et redevenir actifs lorsque les conditions du marché, la liquidité ou les méthodes de blanchiment évoluent.

Ces transactions illustrent comment des cryptomonnaies volées peuvent rester inactives pendant de longues périodes avant d'être converties, consolidées ou transférées via une infrastructure de protection de la vie privée. C'est une stratégie que les défenseurs pourraient bien emprunter.