AMBCryptoが報じたオンチェーンデータによると、2022年のPando Ringsエクスプロイトの攻撃者は4,000 ETHをTornado Cashに預け入れ、3,548 ETHをミキサーの外に残した。10月末付けで11月2日に報じられたこの送金は、侵害から4年を経て、盗まれた資金を隠そうとする攻撃者の新たな試みを示している。

AMBCryptoはArkhamのデータを引用し、ウォレットがまず約1,698万ドル相当のDaiを7,548 ETHに交換し、その後、残高をそれぞれ約22万9,000ドル相当の100 ETHの小口入金に分割した一連の動きを説明した。

重要な事実

• 攻撃者は担保として1,680万USDTを預け入れ、5,000 ETHを借り入れた。ローンを返済した後、担保を引き出し、1,670万DAIを7,548 ETHに交換した。

• 交換後、4,000 ETHはTornado Cashに送られ、3,548 ETHはミキサーの外に残った。

• 8月に行われた800 ETHの先行入金に続き、1回あたり約22万9,000ドル相当の100 ETH単位で入金が行われた。

• AMBCryptoによると、確認された取引所への入金はなく、直ちに売り圧力が高まっているとの確証もない。

• 別件では、Bitcoin.com Newsが、Binanceのハッカーが11月2日のUTC 03:52から04:00の間に、約2億9,300万ドル相当の盗難XRP 2億3,346万枚を6つの新しいウォレットに分散させたと報じた。

ミキサーに入る前に資金が集約された経緯

攻撃者はAaveを利用してステーブルコインの保有分をETHに変換し、その後、資金をTornado Cashへ移した。融資の手順により、攻撃者はUSDTを担保にETHを借り入れ、ローンを返済したうえで、DAIをETHに交換し、資金洗浄に先立って残高を単一の資産に集約できた。

このパターンは、もとのステーブルコインの窃取資金と、後にミキサーへ入ったETHとのつながりを断つため、捜査当局にとって重要だ。盗難トークンを直接移動させるのではなく、攻撃者は融資市場とスワップを介して資産を変換し、個別に追跡しなければならない段階を増やした。

Tornado Cashが資金回収を難しくする理由

Tornado Cashは多くの利用者からの入金をプールし、新しいウォレットアドレスに資金を払い戻すため、入金者と後の受取人との直接的なつながりが断たれる。盗難資金の回収においては、ハッキングに関連するアドレスをウォレット単位で追跡しても得られる情報が少なくなり、最終的にETHがどこへ送られたかを特定するには、取引パターンやオフチェーン情報に頼る必要がある。

AMBCryptoによると、直近の入金からは、既知のクラスターに属するウォレットとのつながりはまだ確認されていない。攻撃者が8月に800 ETHを入金していたことから、ミキサーを使う戦略は今回の送金より前から存在しており、新しい手法ではなく、すでに確立されていることが分かる。

Bitcoin.com Newsは、追跡の限界と有効性の両方を示す類似事例を紹介した。Binanceの攻撃者は、1,000 XRPのテスト送金を行った後、盗んだXRP 2億3,346万枚すべてを6つの新しいウォレットに移した。そのうち5つにはそれぞれ約4,000万XRP、6つ目には3,346万XRPが入っていた。同メディアはまた、Relay、Thorchain、Chainflip、Symbiosisなどを含むTron関連の経路を通じて、すでに約2億4,200万ドルが送金されており、取引所Gateには25万ドルが入金されたと報じた。ステーブルコインとは異なり、ネイティブXRPには凍結できる発行者がいない。一方、Tetherは約3億7,870万USDTを凍結した。

重要な理由

保有者や取引所にとって、Pando Ringsの事例は、4年前のエクスプロイトでも新たな資金洗浄活動につながる可能性があることを示している。そのため資金回収の取り組みは続くものの、解決には至っていない。報告されたデータには、ETHが取引所に到達したことを示す証拠はないため、今回の送金だけではEthereumに新たな売り圧力が生じているとは言えない。

2つの事例では、確認された内容が異なる。AMBCryptoは、Pando Ringsの資金が取引所に入金された事実はないと報じた。一方、Bitcoin.com Newsは、取引所がラベル付けされた6つのウォレットを監視しており、Gateには少額のテスト入金があったと報じた。両メディアとも、資金がミキサーに入ったり、新しいアドレスに分割されたりした後は、追跡が主な手段として残ると説明している。

今後の注目点

次の具体的な兆候は、Tornado Cashの外に残る3,548 ETHが、特定可能な取引所の入金アドレスに向けて移動するかどうか、そしてすでにミキサーに入った4,000 ETHが既知のクラスターに関連するウォレットに現れるかどうかだ。それまでは、Pando Ringsの資金回収状況は未確認のままだ。

CoinPulseHQでの初出：https://coinpulsehq.com/pando-rings-hacker-4000-eth-tornado-cash/