Pando Rings旧案重启：黑客借混币器转移百万美元赃款

核心提要：2022年Pando Rings预言机攻击事件的涉案钱包在沉寂近三年后于2026年8月18日重新激活，将300万枚DAI兑换为1570枚ETH并转入Tornado Cash。尽管使用隐私工具，但资金链仍可追溯，凸显旧案长期影响与行业防御挑战。

陈年漏洞余波：Pando Rings攻击者再度现身并转移赃款

2026年8月18日，与2022年Pando Rings预言机攻击相关的数字地址在停顿两个月后重启活动，通过CoW Protocol将300万枚DAI兑换为约1570枚ETH，估值接近300万美元。其中约800枚以太币（价值约152万美元）已分八次转入Tornado Cash，引发安全界关注。

历史案件未结：资金流仍可回溯至原始攻击

此次操作虽规模有限，但其背景极具警示意义。自近四年前那场利用价格预言机操纵导致超7000万美元资产被窃的攻击以来，该账户持续进行资金转移，且所有流向均可追溯至最初的非法行为，表明被盗资产并未真正“消失”。

预言机缺陷曾是核心风险源

2022年11月5日，攻击者篡改了Pando自动做市商4swap中sBTC-WBTC流动性代币的价格，借此提取价值约2190万美元的加密资产。当时，两个由黑客控制的Mixin钱包共流出包括ETH、EOS和BTC在内的多种资产。

事后，Pando联合Mixin Network与网络安全公司SlowMist展开追索，成功冻结了2,022,662枚EOS（约236万美元）及其他总值超5000万美元的代币。相关服务如Pando Rings、4swap等均被暂停，直至预言机系统修复，并承诺对用户进行全面赔偿。

从抄底到隐身：攻击者策略演变

该地址曾在2026年6月6日被报告执行一笔大规模交易，以平均1602美元价格购入6243枚ETH，耗资1000万枚DAI。分析指出，此行为反映“连黑客也在抄底”的市场心理。

本次兑换标志着策略升级：从单纯持有以太币转向借助Tornado Cash实现资金匿名化。截至目前，已有800枚ETH通过八笔交易进入该混币服务，意图切断资金路径关联。

混币不等于隐身：追踪路径依然存在

尽管Tornado Cash旨在隐藏资金来源与去向，但并非绝对安全。2026年6月，TRM Labs曾追踪一例案例，某人从混币器提取664枚ETH后，迅速掌控了一个名为TOP的小型以太坊协议项目，暴露了操作中的可识别特征。

虽然美国财政部已于2025年3月21日将Tornado Cash移出制裁名单（因不可变智能合约无法构成“财产”），但其大额转账行为仍会触发监管关注，难以实现完全隐蔽。

协议关停之际，攻击者悄然行动

值得注意的是，该钱包活跃前仅三天，即2026年8月15日，Pando宣布正式终止协议运行，将其核心产品转为由Mixin网络监管的维护模式。目前，该平台仅支持贷款偿还与抵押品提取。

与此同时，行业整体安全水平显著提升。Immunefi六年损失分析显示，闪电贷结合预言机操纵类攻击在全行业损失中的占比，已从2022年的近19%下降至2025年的不足1%。这意味着，当前攻击者多为旧时代遗留者，仍在利用已被技术规避的漏洞牟利。

旧案启示：资产沉睡期可能长达数年

Pando协议停运的时间点与攻击者再度活跃高度重合，暗示其行为或受生态变化驱动。这不仅是对2022年事件的简单复现，更揭示了DeFi攻击的长期性——被盗资产可能在多年内休眠，待市场回暖、洗钱渠道成熟时再度启动。

关键时间线梳理

2022年11月5日：Pando Rings遭遇预言机攻击，多个服务随即暂停，团队启动资金追索。

2026年6月：涉案钱包首次显现，完成1000万枚DAI至6243枚ETH的大额兑换。

2026年6月至8月：该地址保持低频活动，进入相对静默状态。

2026年8月18日：再次活跃，将300万枚DAI兑换为1570枚ETH，并分批注入Tornado Cash。

2026年8月15日：Pando宣布协议正式关闭，进入监管维护阶段，与攻击者动作形成时间呼应。

上述轨迹表明，被盗资产可能经历长期转换、整合甚至通过隐私基础设施转移，防御方需建立跨周期追踪机制，才能应对此类持久性威胁。