Theo dữ liệu on-chain do AMBCrypto đưa tin, kẻ đứng sau vụ khai thác lỗ hổng Pando Rings năm 2022 đã gửi 4,000 ETH vào Tornado Cash và để lại 3,548 ETH bên ngoài công cụ trộn tiền này. Các giao dịch diễn ra vào cuối tháng 10 và được đưa tin ngày 2 tháng 11, đánh dấu nỗ lực mới của kẻ khai thác nhằm che giấu số tiền bị đánh cắp, bốn năm sau vụ tấn công.

Dẫn dữ liệu từ Arkham, AMBCrypto mô tả một chuỗi giao dịch trong đó ví này trước tiên đổi khoảng 16.98 triệu đô la Dai lấy 7,548 ETH, sau đó chia số dư thành các khoản gửi nhỏ hơn, mỗi khoản 100 ETH trị giá khoảng 229,000 đô la.

Thông tin chính

• Kẻ tấn công thế chấp 16,8 triệu USDT để vay 5.000 ETH, trả khoản vay, rút tài sản thế chấp và đổi 16,7 triệu DAI lấy 7.548 ETH.

• Sau các giao dịch chuyển đổi, 4.000 ETH được chuyển vào Tornado Cash, trong khi 3.548 ETH vẫn ở bên ngoài mixer.

• Các khoản tiền được gửi theo từng đợt 100 ETH, mỗi đợt trị giá khoảng 229.000 USD, sau khoản gửi 800 ETH trước đó vào tháng 8.

• AMBCrypto đưa tin chưa có khoản tiền nào được xác nhận là gửi đến sàn giao dịch và cũng chưa có áp lực bán tức thời rõ ràng.

• Riêng Bitcoin.com News đưa tin tin tặc Binance đã chia 233,46 triệu XRP bị đánh cắp, trị giá khoảng 293 triệu USD, vào sáu ví mới trong khoảng thời gian từ 03:52 đến 04:00 UTC ngày 2 tháng 11.

Cách tiền được tập hợp trước khi vào mixer

Kẻ tấn công dùng Aave để chuyển lượng stablecoin nắm giữ thành ETH trước khi đưa tiền đến Tornado Cash. Bước vay này cho phép kẻ khai thác vay ETH bằng tài sản thế chấp USDT, trả khoản vay rồi đổi DAI lấy ETH, tập trung số dư vào một tài sản duy nhất trước khi rửa tiền.

Mô hình này có ý nghĩa với các điều tra viên vì nó cắt đứt mối liên hệ giữa lượng stablecoin bị đánh cắp ban đầu và số ETH sau đó được đưa vào mixer. Thay vì chuyển trực tiếp các token bị đánh cắp, kẻ khai thác đã chuyển đổi chúng qua một thị trường cho vay và một giao dịch hoán đổi, tạo thêm các lớp cần được truy vết riêng.

Vì sao Tornado Cash khiến việc thu hồi trở nên phức tạp

Tornado Cash gộp tiền gửi của nhiều người dùng rồi chuyển tiền về các địa chỉ ví mới, cắt đứt mối liên hệ trực tiếp giữa người gửi và những người nhận sau đó. Đối với việc thu hồi tài sản bị đánh cắp, điều này có nghĩa là việc theo dõi ở cấp độ ví các địa chỉ liên quan đến vụ tấn công sẽ mang lại ít kết quả hơn; thay vào đó, các điều tra viên phải dựa vào mô hình giao dịch và thông tin ngoài chuỗi để xác định nơi ETH cuối cùng được chuyển đến.

AMBCrypto đưa tin rằng các khoản tiền gửi gần đây vẫn chưa tạo ra liên kết với những ví thuộc các cụm đã biết. Khoản gửi 800 ETH của kẻ khai thác vào tháng 8 cho thấy chiến lược sử dụng mixer đã có từ trước các giao dịch hiện tại, vì vậy đây là một phương thức đã được thiết lập chứ không phải mới xuất hiện.

Bitcoin.com News đưa ra một trường hợp tương tự, cho thấy cả giới hạn lẫn giá trị của việc truy vết. Tin tặc Binance đã chuyển toàn bộ 233,46 triệu XRP bị đánh cắp vào sáu ví mới — năm ví mỗi ví giữ khoảng 40 triệu XRP và ví thứ sáu giữ 33,46 triệu — sau các khoản chuyển thử nghiệm 1.000 XRP. Trang tin này cũng cho biết khoảng 242 triệu USD đã được chuyển qua các tuyến liên quan đến Tron, bao gồm Relay, Thorchain, Chainflip và Symbiosis, cùng với khoản gửi 250.000 USD vào sàn Gate. XRP gốc không có đơn vị phát hành nào có thể đóng băng token này, trái ngược với stablecoin; Tether đã đóng băng khoảng 378,7 triệu USDT.

Vì sao điều này quan trọng

Đối với người nắm giữ tài sản và các sàn giao dịch, vụ việc Pando Rings cho thấy một vụ khai thác lỗ hổng từ bốn năm trước vẫn có thể tạo ra hoạt động rửa tiền mới, khiến nỗ lực thu hồi vẫn tiếp tục nhưng chưa có kết quả rõ ràng. Dữ liệu được đưa tin không có bằng chứng cho thấy ETH đã đến một nền tảng giao dịch, vì vậy bản thân các giao dịch chuyển tiền này chưa thể khẳng định có áp lực bán mới đối với Ethereum.

Hai câu chuyện khác nhau về những gì đã được xác nhận. AMBCrypto đưa tin không có khoản tiền nào từ Pando Rings được gửi đến sàn giao dịch; Bitcoin.com News cho biết các sàn đang theo dõi sáu ví được gắn nhãn và một khoản tiền thử nghiệm nhỏ tại Gate. Cả hai trang tin đều mô tả việc truy vết là công cụ chính còn lại sau khi tiền đi vào mixer hoặc được chia nhỏ sang các địa chỉ mới.

Cần theo dõi điều gì

Dấu hiệu cụ thể tiếp theo cần chú ý là liệu bất kỳ phần nào trong số 3.548 ETH còn ở ngoài Tornado Cash có được chuyển đến một địa chỉ nạp tiền của sàn giao dịch có thể nhận diện hay không, và liệu 4.000 ETH đã được trộn có xuất hiện trong các ví liên quan đến những cụm đã biết hay không. Cho đến lúc đó, tình trạng thu hồi số tiền từ Pando Rings vẫn chưa được xác nhận.

Được đăng lần đầu trên CoinPulseHQ: https://coinpulsehq.com/pando-rings-hacker-4000-eth-tornado-cash/