Selon des données on-chain rapportées par AMBCrypto, l’attaquant à l’origine de l’exploitation de Pando Rings en 2022 a déposé 4 000 ETH dans Tornado Cash et laissé 3 548 ETH en dehors du mixeur. Datés de la fin octobre et rapportés le 2 novembre, ces transferts marquent la reprise des efforts de l’exploiteur pour dissimuler les fonds volés, quatre ans après la faille.

En s’appuyant sur des données d’Arkham, AMBCrypto a décrit une séquence au cours de laquelle le portefeuille a d’abord converti environ 16,98 millions de dollars en Dai en 7 548 ETH, puis réparti le solde en dépôts plus modestes de 100 ETH, d’une valeur d’environ 229 000 dollars chacun.

Faits clés

• L’attaquant a fourni 16,8 millions d’USDT en garantie pour emprunter 5 000 ETH, a remboursé le prêt, retiré la garantie et échangé 16,7 millions de DAI contre 7 548 ETH.

• Après les conversions, 4 000 ETH ont été envoyés vers Tornado Cash, tandis que 3 548 ETH sont restés en dehors du mélangeur.

• Les dépôts ont été effectués par tranches de 100 ETH, d’une valeur d’environ 229 000 $ chacune, après un dépôt antérieur de 800 ETH en août.

• AMBCrypto a signalé qu’aucun dépôt confirmé sur une plateforme d’échange n’avait été effectué et qu’aucune pression vendeuse immédiate n’était établie.

• Séparément, Bitcoin.com News a rapporté que le pirate de Binance avait réparti 233,46 millions de XRP volés, d’une valeur d’environ 293 millions de dollars, entre six nouveaux portefeuilles entre 03:52 et 04:00 UTC le 2 novembre.

Comment les fonds ont été regroupés avant le mélangeur

L’attaquant a utilisé Aave pour convertir ses avoirs en stablecoins en ETH avant d’acheminer les fonds vers Tornado Cash. Cette étape de prêt a permis à l’exploiteur d’emprunter des ETH contre une garantie en USDT, de rembourser le prêt, puis d’échanger des DAI contre des ETH, regroupant ainsi le solde en un seul actif avant le blanchiment.

Ce schéma est important pour les enquêteurs, car il rompt le lien entre le butin initial en stablecoins et les ETH qui ont ensuite été envoyés dans le mélangeur. Au lieu de transférer directement les jetons volés, l’exploiteur les a convertis par l’intermédiaire d’un marché de prêt et d’un échange, ajoutant ainsi des étapes qu’il faut retracer séparément.

Pourquoi Tornado Cash complique le recouvrement

Tornado Cash regroupe les dépôts de nombreux utilisateurs et renvoie les fonds vers de nouvelles adresses de portefeuille, coupant ainsi le lien direct entre un déposant et les destinataires ultérieurs. Pour le recouvrement des fonds volés, le suivi au niveau des portefeuilles liés au piratage devient donc moins efficace, et les enquêteurs doivent plutôt s’appuyer sur les schémas de transactions et les renseignements hors chaîne pour déterminer où les ETH finissent par arriver.

AMBCrypto a indiqué que les dépôts les plus récents n’avaient pas encore permis d’établir de liens avec des portefeuilles appartenant à des groupes connus. Le dépôt de 800 ETH effectué par l’exploiteur en août montre que la stratégie de recours au mélangeur précède les transferts actuels : cette approche est donc déjà établie et n’est pas nouvelle.

Bitcoin.com News a présenté un cas similaire qui illustre à la fois les limites et l’utilité du traçage. Le pirate de Binance a transféré la totalité des 233,46 millions de XRP volés vers six nouveaux portefeuilles — cinq contenant environ 40 millions de XRP chacun et le sixième, 33,46 millions — après des paiements tests de 1 000 XRP. Ce média a également rapporté qu’environ 242 millions de dollars avaient déjà transité par des voies liées à Tron, notamment Relay, Thorchain, Chainflip et Symbiosis, ainsi qu’un dépôt de 250 000 $ sur la plateforme d’échange Gate. Le XRP natif ne dépend d’aucun émetteur capable de le geler, contrairement aux stablecoins : Tether a ainsi gelé environ 378,7 millions d’USDT.

Pourquoi c’est important

Pour les détenteurs et les plateformes d’échange, l’affaire Pando Rings montre qu’un exploit vieux de quatre ans peut encore donner lieu à de nouvelles activités de blanchiment, ce qui maintient ouvertes les tentatives de recouvrement sans pour autant les résoudre. Les données rapportées ne montrent pas que les ETH aient atteint une plateforme de négociation ; ces transferts ne suffisent donc pas, à eux seuls, à établir une nouvelle pression vendeuse sur Ethereum.

Les deux articles diffèrent quant aux éléments confirmés. AMBCrypto n’a signalé aucun dépôt sur une plateforme d’échange provenant des fonds de Pando Rings ; Bitcoin.com News a indiqué que des plateformes surveillaient six portefeuilles identifiés et qu’un petit dépôt test avait été effectué sur Gate. Les deux médias présentent le traçage comme le principal moyen d’action restant une fois que les fonds entrent dans un mélangeur ou sont répartis entre de nouvelles adresses.

Points à surveiller

Le prochain signe concret sera de voir si l’un des 3 548 ETH restés en dehors de Tornado Cash est acheminé vers une adresse de dépôt identifiable d’une plateforme d’échange, et si les 4 000 ETH déjà mélangés réapparaissent dans des portefeuilles liés à des groupes connus. D’ici là, le statut du recouvrement des fonds de Pando Rings restera incertain.

Publié initialement sur CoinPulseHQ : https://coinpulsehq.com/pando-rings-hacker-4000-eth-tornado-cash/