El atacante detrás del exploit de junio del rollup Connect ya obsoleto de Aztec depositó 300 ETH adicionales en Tornado Cash, con lo que el total movido a través del mezclador asciende a 500 ETH, según la firma de seguridad blockchain PeckShield.

La importancia de estas transferencias va más allá de su valor acumulado. El hacker ya ha canalizado aproximadamente el 55% de los 909 ETH robados en el ataque original a través de Tornado Cash, pero lo ha hecho en cantidades variables en lugar de en una sola transacción grande. Este patrón temporal sugiere una estrategia de salida deliberada que evita el enfoque de lavado rápido visto en otros grandes exploits de criptomonedas.

Un goteo lento hacia el mezclador

El depósito más reciente de 300 ETH, valorado en aproximadamente $572,100 en ese momento, fue enviado a Tornado Cash el August 8, informó PeckShield. El 2 de julio, la firma había detectado un depósito previo de 145 ETH por un valor de unos $227,650, con lo que el total acumulado llegó a 200 ETH.

En lugar de mover los ETH robados en una sola transacción, el atacante ha depositado los fondos en pequeños lotes, y el depósito más reciente se produjo 37 días después del anterior.

#PeckShieldAlert The @aztecnetwork Private Rollup Bridge exploiter-labeled address has deposited 145 ETH ($227,650) into #TornadoCash . So far, the exploiter has deposited a total of 200 ETH into #TornadoCash . pic.twitter.com/QJpfsdwtTS — PeckShieldAlert (@PeckShieldAlert) July 2, 2026

Este enfoque contrasta marcadamente con el incidente de Beanstalk de 2022. Según Merkle Science, esos atacantes ejecutaron 270 transferencias por un total de 24,930 ETH a través de Tornado Cash, y la mayoría de las transferencias tuvieron un tamaño similar y se realizaron en cuestión de segundos entre sí.

El método más lento del explotador de Aztec no oculta por completo los fondos al escrutinio. Aunque Tornado Cash fue diseñado para cortar el vínculo en cadena entre depósitos y retiros, el momento de la transacción, el comportamiento de la billetera y la actividad fuera del mezclador aún pueden revelar información. TRM Labs informó que ha rastreado fondos ocultos por el mezclador utilizando correlación de comportamiento y tiempo, análisis del conjunto de anonimato e identificación de puntos de salida.

De dónde provinieron los 500 ETH

El origen de los fondos robados se remonta al 14 de junio, cuando un ciberdelincuente desvió aproximadamente $2.19 millones de contratos rollup obsoletos de Aztec Connect mediante una sola transferencia. Según Blockaid, los activos robados incluyen 909 ETH, 270,513 DAI, 168 wstETH y otros tokens.

Un segundo ataque siguió apenas un día después, apuntando al mismo sistema heredado y provocando el robo de aproximadamente $88,000 en activos residuales. Blockaid informó que el atacante utilizó el mismo método de liquidación para explotar las posiciones restantes del puente.

Lo más importante del hallazgo es que el exploit no quebró la criptografía subyacente de Aztec. En cambio, Blockaid encontró una falla en los procesos de verificación de pruebas y de límites de liquidación que permitió al atacante generar saldos sin depósitos que los respaldaran.

Aztec Connect ya había sido descontinuado, y Aztec Labs ya no controlaba las claves administrativas de los contratos inmutables afectados. La red Aztec actual y el token AZTEC no resultaron afectados.

Por qué los fondos robados siguen fluyendo hacia Tornado Cash

El caso de Aztec es un ejemplo de una tendencia más amplia en las criptomonedas: los ataques aumentan en número incluso cuando el valor promedio por incidente disminuye.

Según TRM Labs, hubo 207 hackeos cripto en la primera mitad de 2026, la cifra más alta registrada para ese periodo. Las pérdidas totales por hackeos cripto alcanzaron los $972 millones, menos de la mitad del dinero robado en la primera mitad de 2025, que fue de $2.3 mil millones. El número de exploits de contratos inteligentes en 2026 ascendió a 125, mientras que la pérdida mediana fue de aproximadamente $219,000.

Tornado Cash sigue siendo una parte integral de ese sistema de lavado. TRM informó en junio que el mezclador fue responsable de apenas el 20% de la actividad mundial de mezcladores en 2026 y que seguía siendo el principal mezclador en redes basadas en Ethereum hasta el momento, aunque hubo una caída sustancial en su participación después de las sanciones impuestas por Estados Unidos en 2022.

La investigación académica muestra la relevancia del servicio Tornado Cash. En un estudio realizado por académicos de la University of Birmingham y la University of Sydney, se encontró que Tornado Cash se utilizó en el 78.33% de todos los eventos de hackeo en la blockchain de Ethereum durante el periodo analizado.

Desde entonces, el entorno legal ha evolucionado. El U.S. Treasury levantó sus sanciones contra Tornado Cash el March 21, 2025, después de que el Fifth Circuit determinara que los contratos inteligentes que no pueden modificarse no se consideran propiedad bajo la jurisdicción de la Office of Foreign Assets Control (OFAC).

Tanto para los inversionistas como para los participantes de DeFi, el caso de Aztec ejemplifica un problema más amplio: los contratos terminados pueden seguir siendo relevantes desde el punto de vista económico mucho tiempo después de que un protocolo se abandona. Si fondos importantes quedan atrapados en tecnología obsoleta, este punto débil puede convertirse en una fuente de pérdidas. Además, una vez que ese dinero es robado, las técnicas de lavado de dinero utilizadas por los criminales no parecen en absoluto nuevas.

The smartest crypto minds already read our newsletter. Want in? Join them .