El hacker del exploit de PandoRings depositó 16,8 millones de USDT en Aave, pidió prestados 5.000 ETH y la empresa de seguridad blockchain PeckShield señaló la operación.
Puntos clave
La billetera del exploit depositó 16,8 millones de USDT en Aave, pidió prestados 5.000 ETH y retiró el colateral; PeckShield señaló las transacciones
PeckShieldAlert publicó la ruta de las transacciones y dijo que la dirección completó la maniobra el 30 de octubre antes de intercambiar parte de los fondos retirados
Aave permite a los usuarios depositar una criptomoneda como colateral y pedir prestada otra sin recurrir a un banco o corredor
Ahora las empresas de seguridad y los exchanges se centran mucho en la fase posterior al exploit, porque es más fácil congelar los activos robados antes de que se dispersen
PeckShieldAlert publicó la ruta de la transacción y dijo que la dirección completó la maniobra el 30 de octubre antes de intercambiar parte de los fondos retirados. Aave es un protocolo de préstamos descentralizado que permite a los usuarios ofrecer una criptomoneda como garantía y pedir otra prestada sin recurrir a un banco o intermediario.
La actividad de la dirección tuvo lugar en Aave.
La publicación sobre el seguimiento no identificó el destino final de todos los fondos, pero la ruta es llamativa porque los protocolos de préstamos pueden utilizarse para cambiar la exposición a activos y canalizar valor sin vender grandes saldos en una sola operación visible en el mercado al contado.
Cómo se movieron los fondos del exploit de PandoRings
El movimiento principal era sencillo en su diseño, aunque la cantidad fuera grande. La billetera depositó USDT, pidió ETH prestado con esa garantía, pagó la deuda y luego retiró la garantía.
Ese tipo de ciclo puede servir para varios propósitos.
Puede ayudar a un titular a pasar de la exposición al dólar a la exposición a ETH, obtener liquidez temporal o mover fondos a través de un protocolo que divide el rastro en varias interacciones con contratos. Para los investigadores, esto por sí solo no demuestra que haya habido blanqueo de dinero.
Es una señal de que el operador sigue activo y se siente cómodo usando grandes plataformas DeFi.
Las cantidades importan. Un depósito de 16,8 millones de USDT y un préstamo de 5.000 ETH superan el umbral que los equipos de riesgo, los exchanges y los delegados de protocolos suelen vigilar manualmente.
Del robo al enrutamiento secundario
Las transacciones más recientes forman parte de la etapa posterior al exploit, que suele ser la más importante para la recuperación.
Después de que un atacante roba fondos, la siguiente pregunta es si esos activos permanecen inactivos, pasan por un mezclador, se transfieren a otra cadena o circulan por mercados de préstamos.
Lee también: Google prueba en secreto Gemini 4 Carbon para ver si gusta a la gente
Los protocolos DeFi son abiertos por diseño, lo que significa que Aave no puede revisar previamente cada billetera como lo haría el área de apertura de cuentas de un banco. Funciona mediante contratos inteligentes, que son programas autoejecutables en una cadena de bloques.
Esa apertura es la razón por la que los mercados de préstamos de primera categoría son útiles para los operadores legítimos y tentadores para los atacantes que buscan redirigir saldos.
Ahora las empresas de seguridad y los exchanges se centran mucho en esta segunda fase, porque es más fácil congelar los activos robados antes de que se dispersen entre muchos servicios.
Qué observarán Aave y quienes vigilan el protocolo a continuación
La cuestión a corto plazo es si la billetera sigue concentrando fondos en ETH o empieza a transferirlos a otro lugar. Las billeteras vinculadas a grandes exploits suelen buscar activos líquidos con mercados profundos porque son más fáciles de dividir, cubrir o vender.
Esto también plantea una pregunta recurrente sobre la gobernanza de DeFi.
Protocolos como Aave están diseñados para ser una infraestructura neutral, pero cada exploit importante renueva la presión para mejorar los controles, las alertas de oráculos y la coordinación de emergencia con empresas de análisis. Es probable que las próximas novedades provengan de los sistemas de monitoreo en cadena, no del atacante.
Los observadores estarán muy atentos a cualquier movimiento posterior relacionado con el exploit de PandoRings.
Por qué los ciclos de préstamos complican la recuperación
Aave permite a los usuarios pedir préstamos con sus activos como garantía en lugar de venderlos directamente. Si una billetera tiene USDT y quiere ETH, puede depositar la moneda estable, pedir un préstamo en ETH y transferir ese ETH a otro lugar.
Así, la composición de activos de la billetera cambia sin que un libro de órdenes de un exchange registre una gran venta.
Para los equipos de seguridad, esto puede dificultar el rastreo de fondos porque el valor ahora se reparte entre posiciones de deuda, saldos de garantías y transferencias posteriores. En el caso del exploit de PandoRings, el tamaño importa por una segunda razón.
Un préstamo de 5.000 ETH tiene suficiente liquidez para canalizarse a través de muchos pools sin llamar tanto la atención como una liquidación de una sola vez.
Por eso es útil la publicación de PeckShield. Identifica el patrón exacto que investigadores, exchanges y delegados de Aave seguirán a continuación en la investigación del exploit de PandoRings.
Lee a continuación: El gasto con Coinbase Base Card se dispara 14 veces mientras las criptomonedas llegan a las cajas