O invasor por trás do ataque ao Pando Rings em 2022 depositou 4.000 ETH no Tornado Cash e deixou 3.548 ETH fora do misturador, segundo dados on-chain divulgados pela AMBCrypto. As transferências, datadas do fim de outubro e noticiadas em 2 de novembro, marcam uma nova tentativa do invasor de ocultar os fundos roubados, quatro anos após a violação.
A AMBCrypto, citando dados da Arkham, descreveu uma sequência em que a carteira primeiro converteu cerca de US$ 16,98 milhões em Dai em 7.548 ETH e, em seguida, dividiu o saldo em depósitos menores de 100 ETH, no valor aproximado de US$ 229.000 cada.
Principais fatos
• O invasor forneceu 16,8 milhões de USDT como garantia para tomar emprestados 5.000 ETH, quitou o empréstimo, retirou a garantia e trocou 16,7 milhões de DAI por 7.548 ETH.
• Após as conversões, 4.000 ETH foram enviados para o Tornado Cash, enquanto 3.548 ETH permaneceram fora do misturador.
• Os depósitos foram feitos em lotes de 100 ETH, cada um valendo cerca de US$ 229.000, após um depósito anterior de 800 ETH em agosto.
• A AMBCrypto informou que não havia depósitos confirmados em exchanges nem pressão de venda imediata estabelecida.
• Separadamente, a Bitcoin.com News informou que o hacker da Binance dividiu 233,46 milhões de XRP roubados, avaliados em cerca de US$ 293 milhões, entre seis novas carteiras, entre 03:52 e 04:00 UTC de 2 de novembro.
Como os fundos foram consolidados antes de passar pelo misturador
O invasor usou a Aave para converter suas reservas de stablecoins em ETH antes de direcionar os fundos ao Tornado Cash. A etapa de empréstimo permitiu que o invasor tomasse ETH emprestado usando USDT como garantia, quitasse o empréstimo e, em seguida, trocasse DAI por ETH, consolidando o saldo em um único ativo antes da lavagem.
Esse padrão é importante para os investigadores porque rompe o vínculo entre o montante original em stablecoins roubado e os ETH que depois entraram no misturador. Em vez de transferir diretamente os tokens roubados, o invasor os converteu por meio de um mercado de empréstimos e de uma troca, adicionando camadas que precisam ser rastreadas separadamente.
Por que o Tornado Cash dificulta a recuperação
O Tornado Cash reúne depósitos de muitos usuários e devolve os fundos para novos endereços de carteira, rompendo a conexão direta entre quem deposita e os destinatários posteriores. Na recuperação de valores roubados, isso significa que o rastreamento, no nível das carteiras, dos endereços ligados ao ataque rende menos, e os investigadores precisam recorrer a padrões de transação e a informações fora da blockchain para determinar onde os ETH acabam chegando.
A AMBCrypto informou que os depósitos mais recentes ainda não haviam sido associados a carteiras em grupos conhecidos. O depósito de 800 ETH feito pelo invasor em agosto mostra que a estratégia de usar o misturador antecede as transferências atuais; portanto, trata-se de uma abordagem já estabelecida, não de algo novo.
A Bitcoin.com News apresentou um caso paralelo que mostra tanto os limites quanto a utilidade do rastreamento. O invasor da Binance transferiu todos os 233,46 milhões de XRP roubados para seis novas carteiras — cinco com cerca de 40 milhões de XRP cada e a sexta com 33,46 milhões — após pagamentos de teste de 1.000 XRP. A publicação também informou que cerca de US$ 242 milhões já haviam sido encaminhados por rotas relacionadas à Tron, incluindo Relay, Thorchain, Chainflip e Symbiosis, além de um depósito de US$ 250.000 na exchange Gate. O XRP nativo não tem um emissor capaz de congelá-lo, ao contrário das stablecoins, caso em que a Tether congelou cerca de 378,7 milhões de USDT.
Por que isso importa
Para detentores e exchanges, o caso Pando Rings mostra que uma exploração ocorrida há quatro anos ainda pode gerar novas atividades de lavagem, mantendo os esforços de recuperação em aberto, mas sem solução. Os dados divulgados não indicam que os ETH tenham chegado a uma plataforma de negociação; portanto, as transferências, por si só, não demonstram uma nova pressão de venda sobre o Ethereum.
As duas notícias diferem quanto ao que foi confirmado. A AMBCrypto informou que não houve depósitos em exchanges provenientes dos fundos da Pando Rings; a Bitcoin.com News informou que as exchanges estão monitorando seis carteiras identificadas e um pequeno depósito de teste na Gate. Ambas as publicações descrevem o rastreamento como a principal ferramenta restante quando os fundos entram em um misturador ou são divididos entre novos endereços.
O que observar
O próximo sinal concreto será saber se algum dos 3.548 ETH que ficaram fora do Tornado Cash será enviado para um endereço de depósito identificável de alguma exchange e se os 4.000 ETH já misturados aparecerão em carteiras ligadas a grupos conhecidos. Até lá, a situação da recuperação dos fundos da Pando Rings permanece sem confirmação.
Publicado originalmente no CoinPulseHQ: https://coinpulsehq.com/pando-rings-hacker-4000-eth-tornado-cash/