Tin tặc Oracle Pando Rings xuất hiện trở lại công khai, chuyển hướng ETH sang Tornado Cash

Ví liên quan đến vụ tấn công oracle Pando Rings năm 2022 đã được kích hoạt lại vào ngày 18 tháng 8 sau hai tháng không hoạt động, theo báo cáo từ trac Onchain Lens. Kẻ tấn công đã trao đổi 3 triệu $DAI lấy khoảng 1570 $ETH, tương đương khoảng ba triệu đô la, thông qua giao thức CoW. Được biết, khoảng 800 $ETH, tương đương khoảng 1,52 triệu đô la, đã được chuyển vào Tornado Cash thông qua tám giao dịch từ ví này.

Mặc dù hành động này có vẻ tương đối nhỏ, nhưng lịch sử của sự kiện này thì không hề đơn giản. Gần bốn năm sau sự cốdent, trong đó dữ liệu giá bị thao túng để làm trống rỗng Pando Rings, kẻ lừa đảo vẫn tiếp tục chuyển tiền mà đến nay vẫn có thể trac được về vụ lừa đảo ban đầu.

Thao túng oracle, từng là nguyên nhân chính gây thua lỗ trong DeFi, đã thực sự bị loại khỏi danh sách các sự cố thường xuyên nhờ những cải tiến trong phát triển giao thức.

Oracle đã hiểu sai tài sản thế chấp của chính mình

Vào ngày 5 tháng 11 năm 2022, Pando Rings đã bị tấn công. Kẻ tấn công đã thay đổi thành công giá của token thanh khoản sBTC-WBTC trên 4swap, nhà tạo lập thị trường tự động của Pando, và đã sử dụng thao túng giá này để cố gắng rút tiền điện tử trị giá 70 triệu đô la.

Vào thời điểm nhóm hành động, $ETH, EOS và BTC trị giá khoảng 21,9 triệu đô la đã được rút từ hai ví Mixin do kẻ tấn công kiểm soát.

Một phần tài sản đã không bị mất. Pando hợp tác với Mixin Network và công ty an ninh mạng SlowMist đã đóng băng số tiền còn lại. Tài sản bị đóng băng bao gồm 2.022.662 đồng xu EOS, trị giá khoảng 2,36 triệu đô la, cộng với các token khác có tổng giá trị hơn 50 triệu đô la.

Công ty đã tạm dừng cung cấp dịch vụ của mình, cụ thể là Pando Rings, 4swap, Pando Leaf và Pando Lake, cho đến khi lỗi hoạt động của oracle được sửa chữa và cam kết bồi thường thiệt hại cho tất cả khách hàng.

Từ việc mua "sốt" đến sử dụng máy trộn

Cùng một địa chỉ đã xuất hiện định kỳ sau đó. Theo báo cáo từ Lookonchain được công bố vào ngày 6 tháng 6, cùng một người đã thực hiện giao dịch trị giá 10 triệu $DAI, mua tổng cộng 6243 $ETH với giá trung bình 1602 đô la. Sau đó có thêm thông tin rằng "ngay cả kẻ tấn công cũng mua $ETH khi giá giảm".

Giao dịch mua và trao đổi trong tuần này chỉ ra một chiến lược đã được biết đến: chuyển đổi stablecoin bị đánh cắp thành ether vào thời điểm thích hợp và chờ đợi thời điểm tốt nhất để hành động tiếp theo. Điểm đến cuối cùng vào ngày 18 tháng 8 đã thay đổi.

Thay vì giữ token Ether, tội phạm đã bắt đầu gửi nó thông qua Tornado Cash - một dịch vụ được sử dụng để che giấu mối liên hệ giữa tiền gửi và tiền rút. Đến nay, tổng số tiền gửi qua máy trộn là 800 Ether, được thực hiện trong tám giao dịch.

Tại sao quỹ đầu tư hỗn hợp vẫn nằm trong tầm ngắm

Ngay cả khi một người gửi tiền thông qua Tornado Cash, điều đó không có nghĩa là dấu vết sẽ bị mất. Phòng thí nghiệm TRM đã trac một cuộc tấn công vào tháng 6, trong đó ai đó đã rút khoảng 664 $ETH từ Tornado Cash và sử dụng chúng để giành quyền kiểm soát một dự án Ethereum nhỏ được gọi là TOP. Trường hợp này cho thấy cách các hoạt động của máy trộn có thể báo hiệu rủi ro, ngay cả khi việc trac trực tiếp giao dịch là khó khăn.

Tình trạng pháp lý của Tornado Cash đã thay đổi. Mặc dù vào tháng 8 năm 2022, công ty đã bị Bộ Tài chính Hoa Kỳ trừng phạt, nhưng vào ngày 21 tháng 3 năm 2025, nó đã bị loại khỏi danh sách trừng phạt liên quan đến quyết định của tòa án phúc thẩm liên bang rằng các hợp đồng thông minh bất biếntrac có thể được phân loại là "tài sản" chịu sự điều chỉnh của luật trừng phạt.

Việc sử dụng giao thức như một máy trộn Ethereum có nghĩa là các giao dịch chuyển tiền lớn thông qua giao thức nàytrac sự chú ý, chứ không chỉ đơn giản là biến mất.

Giao thức dần dần đóng cửa khi kẻ tấn công của nó di chuyển

Thời điểm được chọn là hợp lý. Chỉ ba ngày trước khi ví được kích hoạt, vào ngày 15 tháng 8, Pando đã thông báo ngừng hỗ trợ giao thức và chuyển các sản phẩm DeFi của mình sang chế độ bảo trì dưới sự quản lý của Mixin. Hiện tại, Pando Rings chỉ phục vụ cho việc hỗ trợ thanh toán khoản vay và rút tài sản thế chấp.

Trong khi đó,dent, như sự cố với Pando, không còn là hiện tượng phổ biến. Phân tích tổn thất được thực hiện bởi Immunefi trong sáu năm qua cho thấy các cuộc tấn công như tấn công hệ sinh thái, chẳng hạn như thao túng oracle cho vay ngay lập tức, đã giảm từ gần 19% sự cố, DeFi thành tổn thấtdent, vào năm 2022 xuống dưới 1% vào năm 2025.

Kết quả là, kẻ khai thác Pando là một di tích của thời đại cũ hơn trong bảo mật DeFi, vẫn đang thu lợi từ lỗ hổng mà ngành công nghiệp nói chung đã có thể vượt qua bằng cách sử dụng blockchain.

Khía cạnh bảo mật rộng lớn hơn

Thời điểm thông báo của Pando vào ngày 15 tháng 8 về việc ngừng hỗ trợ giao thức đáng chú ý, cũng như việc kẻ tấn công tiếp tục hoạt động. Đây không chỉ đơn thuần là một vụ tấn công cũ từ năm 2022 xuất hiện trở lại. Nó minh họa xu hướng lâu dài của việc khai thác lỗ hổng DeFi, nơi tài sản bị đánh cắp có thể nằm im trong nhiều năm và được kích hoạt lại khi điều kiện thị trường, thanh khoản hoặc đường rửa tiền thay đổi.

Các giao dịch này chứng minh cách tiền điện tử bị đánh cắp có thể duy trì trạng thái không hoạt động trong thời gian dài trước khi được chuyển đổi, hợp nhất hoặc di chuyển qua cơ sở hạ tầng bảo mật. Đây là con đường mà những người bảo vệ hoàn toàn có thể đi theo.