Il truffatore di Pando Rings, che sfruttava gli oracoli, riemerge e instrada ETH verso Tornado Cash

Il wallet associato all'attacco hacker all'oracolo Pando Rings del 2022 è stato riattivato il 18 agosto dopo due mesi di inattività, come riportato dal tracOnchain Lens. L'hacker ha scambiato 3 milioni di DAI con circa 1.570 ETH, per un valore di circa tre milioni di dollari, tramite il protocollo CoW. È noto che circa 800 ETH, per un valore di circa 1,52 milioni di dollari, siano già confluiti in Tornado Cash tramite otto transazioni da questo wallet.

Sebbene l'azione in sé possa essere relativamente minore, la storia dell'evento è tutt'altro che insignificante. A quasi quattro annident in cui un feed di prezzi è stato manipolato per svuotare Pando Rings, il truffatore continua a spostare il denaro, che può ancora essere tracalla frode originale. Un tempo grave causa di perdite nel DeFi, la manipolazione degli oracoli è stata di fatto eliminata grazie ai miglioramenti nello sviluppo dei protocolli.

Un oracolo che ha interpretato male le proprie garanzie

Il 5 novembre 2022, Pando Rings è stato hackerato. L'hacker è riuscito a modificare il prezzo del token di liquidità sBTC-WBTC su 4swap, il market maker automatizzato di Pando, e ha sfruttato questa manipolazione dei prezzi nel tentativo di sottrarre criptovalute per un valore di 70 milioni di dollari. Quando il team è intervenuto, circa 21,9 milioni di dollari in ETH, EOSe BTC erano già stati prelevati da due wallet Mixin controllati dall'hacker.

Alcuni asset non sono andati persi. Pando ha collaborato con Mixin Network e la società di sicurezza informatica SlowMist per bloccare i fondi rimanenti. Gli asset congelati includono 2.022.662 monete EOS per un valore di circa 2,36 milioni di dollari, oltre ad altri token per un valore totale superiore a 50 milioni di dollari. L'azienda ha sospeso i suoi servizi, ovvero Pando Rings, 4swap, Pando Leaf e Pando Lake, fino alla riparazione dell'oracolo, e ha garantito il rimborso a tutti i clienti.

Dall'acquisto della salsa al momento di prendere il mixer

Da allora, lo stesso indirizzo è riapparso a intervalli regolari. Secondo un report di Lookonchain pubblicato il 6 giugno, la stessa persona ha effettuato una transazione del valore di 10 milioni di DAI per acquistare un totale di 6.243 ETH a un prezzo medio di 1.602 dollari. È stato poi aggiunto che "persino l'hacker sta comprando quando il prezzo di ETH scende".

L'acquisto avvenuto e lo scambio di questa settimana indicano una strategia ben nota: convertire stablecoin rubate in Ether al momento opportuno e attendere il momento migliore per agire. La novità del 18 agosto risiede nella destinazione finale. Invece di rimanere in possesso dei token Ether, il criminale ha iniziato a inviarli tramite Tornado Cash, un servizio utilizzato per occultare il collegamento tra i fondi depositati e quelli prelevati. Ad oggi, l'ammontare dei depositi sul mixer è pari a 800 Ether, effettuati in otto transazioni.

Perché i fondi misti restano visibili

Anche se una persona invia denaro tramite Tornado Cash, ciò non significa che la traccia della transazione andrà persa. TRM Labs tractracciato l'attacco avvenuto a giugno, in cui una persona ha prelevato circa 664 ETH da Tornado Cash e li ha utilizzati per assumere il controllo di un piccolo Ethereum noto come TOP. Questo caso dimostra come le operazioni di mixing possano comunque segnalare un rischio, anche se la traccia diretta della transazione è difficile da seguire.

Lo status legale di Tornado Cash è cambiato. Pur essendo stato sanzionato dal Dipartimento del Tesoro degli Stati Uniti nell'agosto 2022, è stato rimosso dalla lista delle sanzioni il 21 marzo 2025, a seguito della sentenza della Corte d'Appello federale secondo cui gli smart contract immutabilitracpossono essere classificati come "proprietà" soggetta a sanzioni. Il suo utilizzo come Ethereum implica che i trasferimenti di grandi dimensioni che transitano attraverso il protocollo attirerebberotracattenzione anziché semplicemente scomparire.

Un protocollo che si sta spegnendo mentre il suo aggressore si muove

La tempistica è interessante. Solo tre giorni prima dell'attività del wallet, Pando aveva annunciato , il 15 agosto, l'interruzione del protocollo e la messa in modalità di manutenzione dei suoi DeFi sotto la supervisione di Mixin. A questo punto, Pando Rings serve unicamente a supportare il rimborso dei prestiti e il prelievo delle garanzie.

Nel frattempo,dentcome quello di Pando non sono più frequenti. L'analisi delle perdite condotta da Immunefi su un periodo di sei anni ha rilevato che gli attacchi di tipo ecosistemico, come la manipolazione degli oracoli per i prestiti flash, sono diminuiti da quasi il 19% degli DeFi di perditadentnel 2022 a meno dell'1% nel 2025.

Di conseguenza, il sistema di sfruttamento della vulnerabilità Pando rappresenta un retaggio di un'epoca passata nella sicurezza DeFi , continuando a trarre profitto da una debolezza che l'intero settore è riuscito a superare grazie all'utilizzo delle blockchain.

Una prospettiva di sicurezza più ampia

La tempistica dell'annuncio di Pando del 15 agosto, relativo alla chiusura del protocollo, merita di essere analizzata insieme alla rinnovata attività degli hacker. Non si tratta semplicemente di un vecchio attacco hacker del 2022 che riemerge. Questo episodio illustra la lunga durata degli exploit DeFi , in cui gli asset rubati possono rimanere inattivi per anni e riattivarsi quando cambiano le condizioni di mercato, la liquidità o i canali di riciclaggio.

Le transazioni dimostrano come le criptovalute rubate possano rimanere inattive per lunghi periodi prima di essere convertite, consolidate o trasferite attraverso infrastrutture che tutelano la privacy. Si tratta di un percorso che i difensori potrebbero benissimo seguire.