По данным блокчейна, о которых сообщило AMBCrypto, злоумышленник, стоявший за эксплойтом Pando Rings в 2022 году, внес 4 000 ETH в Tornado Cash, а 3 548 ETH оставил за пределами миксера. Переводы, датированные концом октября и о которых сообщили 2 ноября, свидетельствуют о новой попытке злоумышленника скрыть похищенные средства — спустя четыре года после взлома.

AMBCrypto, ссылаясь на данные Arkham, описало последовательность действий: сначала кошелек конвертировал около 16,98 млн долларов в Dai в 7 548 ETH, а затем разделил баланс на более мелкие депозиты по 100 ETH стоимостью примерно 229 000 долларов каждый.

Ключевые факты

• Злоумышленник внес 16,8 млн USDT в качестве залога, чтобы занять 5 000 ETH, погасил заем, вывел залог и обменял 16,7 млн DAI на 7 548 ETH.

• После обмена 4 000 ETH поступили в Tornado Cash, а 3 548 ETH остались вне миксера.

• Депозиты вносились партиями по 100 ETH, каждая стоимостью около 229 000 долларов. Этому предшествовал депозит в 800 ETH в августе.

• AMBCrypto сообщило, что подтвержденных депозитов на биржи не выявлено, как и признаков немедленного давления со стороны продавцов.

• Отдельно Bitcoin.com News сообщило, что хакер Binance распределил 233,46 млн украденных XRP стоимостью около 293 млн долларов между шестью новыми кошельками с 03:52 до 04:00 UTC 2 ноября.

Как средства объединили перед отправкой в миксер

Злоумышленник использовал Aave, чтобы конвертировать запасы стейблкоинов в ETH, прежде чем перевести средства в Tornado Cash. Благодаря кредитованию злоумышленник смог занять ETH под залог USDT, погасить заем, а затем обменять DAI на ETH, объединив средства в один актив перед отмыванием.

Эта схема важна для следователей, поскольку она разрывает связь между изначально похищенными стейблкоинами и ETH, который позднее поступил в миксер. Вместо прямого перевода украденных токенов злоумышленник конвертировал их через кредитный рынок и обмен, добавив уровни, которые необходимо отслеживать отдельно.

Почему Tornado Cash затрудняет возврат средств

Tornado Cash объединяет депозиты многих пользователей и отправляет средства на новые адреса кошельков, разрывая прямую связь между вкладчиком и последующими получателями. При возврате похищенных средств это означает, что отслеживание на уровне кошельков, связанных со взломом, дает меньше результатов, а следователям приходится опираться на схемы транзакций и данные из внецепочечных источников, чтобы установить, куда в итоге поступает ETH.

AMBCrypto сообщило, что последние депозиты пока не удалось связать с кошельками из известных кластеров. Августовский депозит злоумышленника в размере 800 ETH показывает, что стратегия с использованием миксера появилась еще до нынешних переводов и уже применялась ранее.

Bitcoin.com News привело схожий случай, который показывает и ограничения, и пользу отслеживания. Злоумышленник, атаковавший Binance, перевел все 233,46 млн украденных XRP на шесть новых кошельков: на пяти находилось примерно по 40 млн XRP, а на шестом — 33,46 млн. Перед этим он провел тестовые платежи по 1 000 XRP. Издание также сообщило, что около 242 млн долларов уже прошли через связанные с Tron маршруты, в том числе Relay, Thorchain, Chainflip и Symbiosis, а 250 000 долларов были внесены на биржу Gate. У нативного XRP нет эмитента, который мог бы его заморозить, в отличие от стейблкоинов: Tether заморозила около 378,7 млн USDT.

Почему это важно

Для держателей активов и бирж случай Pando Rings показывает, что эксплойт, произошедший четыре года назад, все еще может приводить к новой активности по отмыванию средств. Это означает, что попытки возврата средств продолжаются, но их результат пока неясен. Согласно опубликованным данным, нет свидетельств того, что ETH поступил на торговую площадку, поэтому сами по себе переводы не свидетельствуют о новом давлении продавцов на Ethereum.

В этих двух историях подтверждены разные факты. AMBCrypto сообщило, что средства Pando Rings не поступали на биржи; Bitcoin.com News сообщило, что биржи следят за шестью помеченными кошельками и небольшим тестовым депозитом на Gate. Оба издания указывают, что после поступления средств в миксер или их распределения по новым адресам отслеживание остается главным инструментом расследования.

За чем следить

Следующим конкретным сигналом станет то, начнут ли какие-либо из 3 548 ETH, оставшихся вне Tornado Cash, поступать на идентифицируемый адрес биржи для внесения депозита, а также появятся ли уже прошедшие через миксер 4 000 ETH в кошельках, связанных с известными кластерами. До тех пор статус возврата средств Pando Rings остается неподтвержденным.

Впервые опубликовано на CoinPulseHQ: https://coinpulsehq.com/pando-rings-hacker-4000-eth-tornado-cash/