Le portefeuille lié au piratage de l'oracle de Pando Rings en 2022 a été réactivé le 18 août après deux mois d'inactivité, selon le rapport de l'Onchain Lens sur la surveillance de la blockchain. Le pirate a échangé 3 millions de $DAI contre environ 1 570 $ETH, soit approximativement trois millions de dollars, via le protocole CoW. Environ 800 $ETH, représentant environ 1,52 million de dollars, auraient déjà été déposés dans Tornado Cash suite à huit transactions provenant de ce portefeuille.
Bien que l'action en elle-même puisse paraître relativement mineure, l'histoire de cet événement est tout sauf banale. Près de quatre ans après l'incident au cours duquel des manipulations de données de prix ont vidé Pando Rings, le fraudeur continue de déplacer des fonds qui restent traçables jusqu'à l'escroquerie initiale.
Le tracage de ce pirate est accessible ici : https://t.co/BzkSa9GenR
— Onchain Lens (@OnchainLens) 18 août 2026
La manipulation des oracles, autrefois une cause majeure de pertes en DeFi, a pratiquement été éliminée des cas fréquents grâce aux améliorations dans le développement des protocoles.
L'oracle qui a mal interprété sa propre garantie
Le 5 novembre 2022, Pando Rings a été victime d'une attaque informatique. Le pirate a réussi à modifier le prix du jeton de liquidité sBTC-WBTC sur 4swap, le market maker automatisé de Pando, et a utilisé cette manipulation de prix pour tenter de retirer des cryptomonnaies pour une valeur de 70 millions de dollars.
Au moment où l'équipe a pris des mesures, environ 21,9 millions de dollars en $ETH, EOS et BTC avaient déjà été retirés des deux portefeuilles Mixin contrôlés par le pirate.
Une partie des actifs n'a pas été perdue. Pando, en collaboration avec Mixin Network et la société de cybersécurité SlowMist, a gelé les fonds restants. Les actifs gelés comprennent 2 022 662 pièces EOS, d'une valeur d'environ 2,36 millions de dollars, ainsi que d'autres jetons d'une valeur totale de plus de 50 millions de dollars.
La société a suspendu la fourniture de ses services, à savoir Pando Rings, 4swap, Pando Leaf et Pando Lake, jusqu'à ce qu'un bug dans le fonctionnement de l'oracle soit corrigé, et a assuré qu'elle indemniserait toutes les pertes subies par ses clients.
De l'achat au rabais à l'utilisation d'un mélangeur
La même adresse est réapparue périodiquement par la suite. Selon un rapport de Lookonchain publié le 6 juin, la même personne a effectué une transaction de 10 millions de $DAI, achetaant au total 6 243 $ETH à un prix moyen de 1 602 dollars. Il a ensuite été ajouté que « même le pirate achète lors de la baisse de l'$ETH ».
L'achat et l'échange effectués cette semaine indiquent une stratégie bien connue : convertir les stablecoins volés en Ether au moment opportun et attendre le meilleur moment pour agir davantage. Seule la destination finale a changé le 18 août.
Au lieu de conserver les jetons Ether, le criminel a commencé à les envoyer via Tornado Cash — un service utilisé pour dissimuler le lien entre les fonds déposés et retirés. À ce jour, le montant des dépôts effectués via le mélangeur s'élève à 800 Ether, réalisés en huit transactions.
Pourquoi les fonds mixtes restent visibles
Même si une personne envoie de l'argent via Tornado Cash, cela ne signifie pas que la piste sera perdue. Le laboratoire TRM a traçé une attaque en juin au cours de laquelle quelqu'un a retiré environ 664 $ETH de Tornado Cash et les a utilisés pour prendre le contrôle d'un petit projet Ethereum connu sous le nom de TOP. Ce cas montre comment les opérations de mélangeur peuvent signaler un risque, même si la piste directe de la transaction est difficile à suivre.
Le statut juridique de Tornado Cash a changé. Bien que sous sanctions du Département du Trésor américain en août 2022, le service a été retiré de la liste des sanctions le 21 mars 2025 suite à une décision d'une cour d'appel fédérale statuant que les contrats intelligents traçables et immuables ne peuvent être classés comme des « biens » soumis à la législation sur les sanctions.
L'utilisation du protocole en tant que mélangeur Ethereum signifie que les transferts importants qui y transitent attirent l'attention plutôt que de simplement disparaître.
Le protocole s'éteint progressivement tandis que son attaquant se déplace
Le timing est opportun. Trois jours seulement avant l'activation du portefeuille, le 15 août, Pando a annoncé l'arrêt de son protocole et la mise en mode maintenance de ses produits DeFi sous la gestion de Mixin. Actuellement, Pando Rings ne sert qu'à supporter le remboursement des prêts et le retrait des garanties.
Par ailleurs, les incidents similaires à celui de Pando ne sont plus monnaie courante. Une analyse des pertes menée par Immunefi sur six ans a montré que les attaques de type écosystème, comme les manipulations d'oracles pour les prêts flash, sont passées de près de 19 % des incidents et pertes DeFi en 2022 à moins de 1 % en 2025.
Par conséquent, l'exploitant de Pando est une relique d'une ère plus ancienne en matière de sécurité DeFi, continuant à tirer profit d'une vulnérabilité que l'industrie dans son ensemble a réussi à contourner en utilisant les blockchains.
L'aspect plus large de la sécurité
Le timing de l'annonce de Pando du 15 août concernant l'arrêt du support du protocole est notable, tout comme la reprise d'activité du malfaiteur. Il ne s'agit pas simplement d'un vieux piratage de 2022 qui refait surface. Cela illustre une tendance à long terme dans l'exploitation des vulnérabilités DeFi, où les actifs volés peuvent rester dormants pendant des années et être réactivés lorsque les conditions du marché, la liquidité ou les voies de blanchiment changent.
| Date | Développement |
|---|---|
| 5 novembre 2022 | Le service Pando Rings a été piraté. La société Pando a déclaré avoir arrêté Pando Rings et d'autres services et collaboré avec SlowMist pour traquer les fonds volés. (Pando Proto) |
| Juin 2026 | Le fraudeur identifié a redécouvert son portefeuille, échangeant 10 millions de $DAI contre 6 243 $ETH. (CryptoBriefing) |
| ~Juin-août 2026 | Par la suite, le portefeuille est resté relativement inactif. |
| 18 août 2026 | Le portefeuille a échangé 3 millions de $DAI contre environ 1 570 $ETH, puis envoyé 800 $ETH vers Tornado Cash. (Nouvelles de la Blockchain) |
| 15 août 2026 | Pando a annoncé l'arrêt du support de son protocole et la transition vers un nouveau service, ce qui constitue peut-être un contexte important pour comprendre le timing. |
Ces transactions démontrent comment la cryptomonnaie volée peut rester inactive pendant de longues périodes avant d'être convertie, consolidée ou déplacée via des infrastructures de confidentialité. C'est une voie que les défenseurs peuvent très bien emprunter.
