Взломщик оракулов Pando Rings вновь появился на публике и перенаправляет ETH в Tornado Cash

Кошелек, связанный со взломом оракула Pando Rings в 2022 году, был повторно активирован 18 августа после двух месяцев бездействия, как сообщило trac-соединение Onchain Lens. Хакер обменял 3 миллиона DAI на около 1570 ETH, что составляет приблизительно три миллиона долларов, через протокол CoW. Известно, что около 800 ETH, что составляет примерно 1,52 миллиона долларов, уже поступили в Tornado Cash в результате восьми транзакций с этого кошелька.

Хотя само действие может показаться сравнительно незначительным, история этого события отнюдь не такова. Спустя почти четыре года послеdent , в котором была произведена манипуляция ценовым потоком с целью опустошения Pando Rings, мошенник продолжает перемещать деньги, которые до сих пор можно tracдо первоначального мошенничества. Когда-то манипуляции с оракулами были серьезной причиной потерь в DeFi, но благодаря усовершенствованиям в разработке протоколов, их частота практически исчезла.

Оракул, который неправильно истолковал собственное залоговое обеспечение

5 ноября 2022 года Pando Rings подверглась хакерской атаке. Хакеру удалось изменить цену токена ликвидности sBTC-WBTC на 4swap, автоматизированном маркет-мейкере Pando, и он использовал эту манипуляцию ценой, чтобы вывести криптовалюту на сумму 70 миллионов долларов. К моменту, когда команда предприняла действия, EOSиз двух кошельков Mixin, контролируемых хакером, уже было выведено

Часть активов не была потеряна. Pando в сотрудничестве с Mixin Network и компанией по кибербезопасности SlowMist заблокировала оставшиеся средства. Замороженные активы включают 2 022 662 монеты EOS , стоимость которых составляет приблизительно 2,36 миллиона долларов, а также другие токены общей стоимостью более 50 миллионов долларов. Компания приостановила предоставление своих услуг, а именно Pando Rings, 4swap, Pando Leaf и Pando Lake, до тех пор, пока не будет исправлена ​​ошибка в оракуле, и заверила, что возместит средства всем клиентам.

От покупки соуса до использования миксера

Тот же адрес периодически появлялся и после этого. Согласно отчету Lookonchain, опубликованному 6 июня, тот же человек совершил транзакцию на сумму 10 миллионов DAI, купив в общей сложности 6243 ETH по средней цене 1602 доллара. Затем было добавлено, что «даже хакер покупает на падении $ETH».

Совершенная покупка и обмен на этой неделе указывают на хорошо известную стратегию: превращение украденных стейблкоинов в эфир в подходящий момент и ожидание лучшего момента для дальнейших действий. Изменилось местонахождение токенов 18 августа. Вместо того чтобы оставаться владельцем токена Ether, преступник начал переводить его через Tornado Cash— сервис, используемый для сокрытия связи между внесенными и выведенными средствами. На данный момент сумма депозитов в миксере составляет 800 Ether, совершенных в восьми транзакциях.

Почему смешанные инвестиционные фонды остаются на виду

Даже если человек отправляет деньги через Tornado Cash, это не означает, что след будет потерян. Лаборатория TRM tracатаку в июне, в ходе которой кто-то вывел около 664 ETH из Tornado Cash и использовал их для захвата контроля над небольшим Ethereum , известным как TOP. Этот случай показывает, как операции миксера могут сигнализировать о риске, даже если прямой след транзакции трудно отследить.

Правовой статус Tornado Cash изменился. Хотя в августе 2022 года он был под санкциями Министерства финансов США, 21 марта 2025 годаtracне могут быть классифицированы как «собственность», подлежащая санкционному законодательству. Использование Tornado Cash в качестве Ethereum означает, что крупные переводы, проходящие через протокол, привлекутtrac, а не просто исчезнут. его исключили из санкционного списка в связи с решением федерального апелляционного суда о том, что неизменяемые смарт- миксера

Протокол постепенно сворачивается по мере перемещения его злоумышленника

Время выбрано удачно. Всего за три дня до запуска кошелька, 15 августа, Pando объявила о прекращении работы протокола и переводе своих DeFi продуктов в режим технического обслуживания под управлением Mixin. На данный момент Pando Rings служит только для поддержки погашения кредитов и вывода залогового обеспечения.

Между тем,dent, подобные инциденту с Pando, больше не являются распространенным явлением. Анализ убытков, проведенный Immunefi за шесть лет, показал, что атаки типа атак на экосистему, такие как манипуляции с оракулами мгновенных займов, сократились с почти 19% инцидентов, DeFi к убыткамdent, в 2022 году до менее чем 1% в 2025 году.

В результате, эксплуататор Pando — это пережиток более старой эпохи в сфере безопасности DeFi , по-прежнему извлекающий выгоду из уязвимости, которую индустрия в целом смогла обойти, используя блокчейны.

Более широкий аспект безопасности

Время объявления Pando от 15 августа о прекращении поддержки протокола заслуживает внимания, как и возобновление активности злоумышленника. Это не просто всплывший старый взлом 2022 года. Это иллюстрирует долгосрочную тенденцию использования уязвимостей DeFi , когда украденные активы могут оставаться неактивными годами и снова активироваться при изменении рыночных условий, ликвидности или путей отмывания денег.

Эти транзакции демонстрируют, как украденная криптовалюта может оставаться в неактивном состоянии в течение длительных периодов времени, прежде чем её конвертируют, объединят или переместят через инфраструктуру обеспечения конфиденциальности. Это путь, по которому защитники вполне могут пойти.