Der Angreifer hinter dem Exploit des eingestellten Aztec Connect-Rollups im Juni hat weitere 300 ETH bei Tornado Cash eingezahlt. Damit erhöhte sich die Gesamtsumme, die durch den Mixer transferiert wurde, auf 500 ETH, laut dem Blockchain-Sicherheitsunternehmen PeckShield.

Die Bedeutung der Überweisungen geht über ihren kumulativen Wert hinaus. Der Hacker hat mittlerweile etwa 55 % der beim ursprünglichen Angriff gestohlenen 909 ETH über Tornado Cash geleitet, jedoch in unterschiedlichen Beträgen statt in einer einzigen großen Transaktion. Diese zeitliche Strukturierung deutet auf eine bewusste Exit-Strategie hin, die den bei anderen großen Krypto-Exploits üblichen schnellen Waschprozess vermeidet.

Tropfenweise in den Mixer

Die letzte Einzahlung von 300 ETH, damals im Wert von etwa 572.100 USD, wurde am 8. August an Tornado Cash gesendet, wie PeckShield meldete. Am 2. Juli hatte das Unternehmen eine frühere Einzahlung von 145 ETH im Wert von rund 227.650 USD markiert, wodurch die bisherige Gesamtsumme auf 200 ETH gestiegen war.

Anstatt die gestohlenen ETH in einer einzigen Transaktion zu überweisen, hat der Angreifer die Gelder in kleinen Tranchen eingezahlt, wobei die letzte Einzahlung 37 Tage nach der vorherigen erfolgte.

#PeckShieldAlert The @aztecnetwork Private Rollup Bridge exploiter-labeled address has deposited 145 ETH ($227,650) into #TornadoCash . So far, the exploiter has deposited a total of 200 ETH into #TornadoCash . pic.twitter.com/QJpfsdwtTS — PeckShieldAlert (@PeckShieldAlert) July 2, 2026

Diese Vorgehensweise steht in scharfem Kontrast zum Beanstalk-Vorfall im Jahr 2022. Laut Merkle Science führten jene Angreifer 270 Überweisungen über insgesamt 24.930 ETH durch Tornado Cash aus, wobei die meisten Überweisungen ähnlich groß waren und innerhalb von Sekunden aufeinanderfolgten.

Die langsamere Methode des Aztec-Exploiters verbirgt die Gelder nicht vollständig vor der Überprüfung. Tornado Cash wurde zwar entwickelt, um die On-Chain-Verbindung zwischen Einzahlungen und Abhebungen zu trennen, dennoch können Transaktionszeitpunkt, Wallet-Verhalten und Aktivitäten außerhalb des Mixers weiterhin Informationen preisgeben. TRM Labs berichtete, dass das Unternehmen durch Verhaltens- und Zeit-Korrelation, Anonymitätsmengen-Analyse und Off-Ramp-Identifikation Gelder aufgespürt hat, die durch den Mixer verborgen waren.

Herkunft der gestohlenen Gelder

Die gestohlenen Gelder gehen auf den 14. Juni zurück, als ein Angreifer in einer einzigen Transaktion rund 2,19 Millionen USD aus veralteten Aztec Connect-Rollup-Verträgen abzog. Laut Blockaid umfassten die gestohlenen Werte 909 ETH, 270.513 DAI, 168 wstETH und weitere Token.

Einen Tag später folgte ein zweiter Angriff, der dasselbe Legacy-System zum Ziel hatte und zum Diebstahl von etwa 88.000 USD an verbleibenden Werten führte. Blockaid berichtete, dass der Angreifer dieselbe Abwicklungsmethode nutzte, um die verbleibenden Bridge-Positionen auszunutzen.

Bemerkenswerterweise wurde die kryptografische Grundlage von Aztec durch den Exploit nicht kompromittiert. Stattdessen identifizierte Blockaid einen Fehler in den Prozessen zur Proof-Verifizierung und bei den Abwicklungsgrenzen, der es dem Angreifer ermöglichte, Guthaben zu erzeugen, ohne dass entsprechende Einzahlungen dahinterstanden.

Aztec Connect war bereits eingestellt worden, und Aztec Labs verfügte nicht mehr über die administrativen Schlüssel für die betroffenen unveränderlichen Verträge. Das aktuelle Aztec Network und der AZTEC-Token waren von dem Vorfall nicht betroffen.

Warum gestohlene Gelder weiterhin zu Tornado Cash fließen

Der Fall Aztec veranschaulicht einen breiteren Trend im Kryptowährungsbereich: Die Zahl der Angriffe steigt, während der Durchschnittswert pro Vorfall sinkt.

Laut TRM Labs gab es im ersten Halbjahr 2026 207 Krypto-Hacks – die höchste in diesem Zeitraum verzeichnete Anzahl. Die gesamten Verluste beliefen sich auf 972 Millionen USD, weniger als die Hälfte der 2,3 Milliarden USD, die im ersten Halbjahr 2025 gestohlen wurden. Smart-Contract-Exploits machten 2026 125 Vorfälle aus, bei einem medianen Verlust von rund 219.000 USD.

Tornado Cash bleibt ein zentraler Bestandteil der Kryptowährungs-Geldwäscheinfrastruktur. TRM berichtete im Juni, dass der Mixer 2026 für 20 % der weltweiten Mixer-Aktivität verantwortlich war und auf Ethereum-basierten Netzwerken weiterhin der führende Mixer blieb, obwohl sein Marktanteil nach den 2022 verhängten US-Sanktionen erheblich gesunken war.

Akademische Forschung unterstreicht die Bedeutung der Plattform. Eine Studie von Forschern der University of Birmingham und der University of Sydney ergab, dass Tornado Cash in 78,33 % aller Hacking-Vorfälle auf der Ethereum-Blockchain im untersuchten Zeitraum eingesetzt wurde.

Die Rechtslage hat sich seitdem gewandelt. Das US-Finanzministerium hob seine Sanktionen gegen Tornado Cash am 21. März 2025 auf, nachdem der Fifth Circuit entschieden hatte, dass unveränderliche Smart Contracts nicht als Eigentum im Zuständigkeitsbereich des Office of Foreign Assets Control (OFAC) gelten.

Für DeFi-Teilnehmer unterstreicht der Vorfall um Aztec ein systemisches Problem: Unveränderliche, eingestellte Verträge können wirtschaftlich bedeutsam – und verwundbar – bleiben, lange nachdem ein Protokoll aufgegeben wurde. Da bisher nur 55 % der gestohlenen ETH über Tornado Cash geleitet wurden, stellen die verbleibenden 409 ETH einen wichtigen Überwachungspunkt für On-Chain-Analysten dar, die den laufenden Waschprozess verfolgen. Der Fall verdeutlicht die anhaltende Herausforderung, Legacy-Gelder zu sichern, selbst während die Industrie zu neuen Architekturen übergeht.