Взломщик оракулов Pando Rings вновь появился на публике и перенаправляет ETH в Tornado Cash

Кошелек, связанный со взломом оракула Pando Rings в 2022 году, был повторно активирован 18 августа после двух месяцев бездействия, как сообщило trac-соединение Onchain Lens. Хакер обменял 3 миллиона $DAI на около 1570 $ETH, что составляет приблизительно три миллиона долларов, через протокол CoW. Известно, что около 800 $ETH, что составляет примерно 1,52 миллиона долларов, уже поступили в Tornado Cash в результате восьми транзакций с этого кошелька.

Хотя само действие может показаться сравнительно незначительным, история этого события отнюдь не такова. Спустя почти четыре года послеdent , в ходе которого была произведена манипуляция с ценовыми данными для опустошения Pando Rings, мошенник продолжает переводить деньги, которые до сих пор можно tracдо первоначального мошенничества.

Манипулирование оракулами, когда-то являвшееся серьезной причиной убытков в DeFi, благодаря усовершенствованиям в разработке протоколов, было фактически исключено из числа частых случаев.

Оракул, который неправильно истолковал собственное залоговое обеспечение

5 ноября 2022 года Pando Rings подверглась хакерской атаке. Хакеру удалось изменить цену токена ликвидности sBTC-WBTC на 4swap, автоматизированном маркет-мейкере Pando, и он использовал эту манипуляцию ценой, пытаясь вывести криптовалюту на сумму 70 миллионов долларов.

К моменту, когда команда предприняла действия, из двух кошельков Mixin, контролируемых хакером, уже было выведено $ETH, EOSи BTC на сумму около 21,9 миллиона долларов.

Часть активов не была потеряна. Pando в сотрудничестве с Mixin Network и компанией по кибербезопасности SlowMist заблокировала оставшиеся средства. Замороженные активы включают 2 022 662 монеты EOS , стоимость которых составляет приблизительно 2,36 миллиона долларов, а также другие токены общей стоимостью более 50 миллионов долларов.

Компания приостановила предоставление своих услуг, а именно Pando Rings, 4swap, Pando Leaf и Pando Lake, до тех пор, пока не будет исправлена ошибка в работе оракула, и заверила, что возместит убытки всем клиентам.

От покупки соуса до использования миксера

Тот же адрес периодически появлялся и после этого. Согласно отчету Lookonchain, опубликованному 6 июня, тот же человек совершил транзакцию на сумму 10 миллионов $DAI, купив в общей сложности 6243 $ETH по средней цене 1602 доллара. Затем было добавлено, что «даже хакер покупает на падении $ETH».

Совершенная покупка и обмен на этой неделе указывают на хорошо известную стратегию: конвертация украденных стейблкоинов в эфир в подходящий момент и ожидание наилучшего момента для дальнейших действий. Изменилось лишь конечное местоположение 18 августа.

Вместо того чтобы сохранить токен Ether, преступник начал отправлять его через Tornado Cash— сервис, используемый для сокрытия связи между внесенными и выведенными средствами. На данный момент сумма депозитов через миксер составляет 800 Ether, совершенных в восьми транзакциях.

Почему смешанные инвестиционные фонды остаются на виду

Даже если человек отправляет деньги через Tornado Cash, это не означает, что след будет потерян. Лаборатория TRM tracатаку в июне, в ходе которой кто-то вывел около 664 $ETH из Tornado Cash и использовал их для захвата контроля над небольшим Ethereum , известным как TOP. Этот случай показывает, как операции миксера могут сигнализировать о риске, даже если прямой след транзакции трудно отследить.

Правовой статус Tornado Cash изменился. Хотя в августе 2022 года компания находилась под санкциями Министерства финансов США, 21 марта 2025 года она была исключена из санкционного списка в связи с решением федерального апелляционного суда о том, что неизменяемые смарт-контрактыtracмогут быть классифицированы как «имущество», подлежащее санкционному законодательству.

Использование протокола в качестве микшера Ethereum означает, что крупные переводы, проходящие через этот протокол,tracвнимание, а не просто исчезнут.

Протокол постепенно сворачивается по мере перемещения его злоумышленника

Время выбрано удачно. Всего за три дня до запуска кошелька, 15 августа, Pando объявила о прекращении работы протокола и переводе своих DeFi продуктов в режим технического обслуживания под управлением Mixin. На данный момент Pando Rings служит только для поддержки погашения кредитов и вывода залогового обеспечения.

Между тем,dent, подобные инциденту с Pando, больше не являются распространенным явлением. Анализ убытков, проведенный Immunefi за шесть лет, показал, что атаки типа атак на экосистему, такие как манипуляции с оракулами мгновенных займов, сократились с почти 19% инцидентов, DeFi к убыткамdent, в 2022 году до менее чем 1% в 2025 году.

В результате, эксплуататор Pando — это пережиток более старой эпохи в сфере безопасности DeFi , по-прежнему извлекающий выгоду из уязвимости, которую индустрия в целом смогла обойти, используя блокчейны.

Более широкий аспект безопасности

Время объявления Pando от 15 августа о прекращении поддержки протокола заслуживает внимания, как и возобновление активности злоумышленника. Это не просто всплывший старый взлом 2022 года. Это иллюстрирует долгосрочную тенденцию использования уязвимостей DeFi , когда украденные активы могут оставаться неактивными годами и снова активироваться при изменении рыночных условий, ликвидности или путей отмывания денег.

Эти транзакции демонстрируют, как украденная криптовалюта может оставаться в неактивном состоянии в течение длительных периодов времени, прежде чем её конвертируют, объединят или переместят через инфраструктуру обеспечения конфиденциальности. Это путь, по которому защитники вполне могут пойти.