Een cryptowallet die is gekoppeld aan de Pando Rings-exploit van 2022 is na jaren van beperkte activiteit weer opgedoken, waardoor de beweging van gelden in verband met een van de grootste beveiligingsincidenten van het protocol opnieuw aandacht krijgt.

On-chain monitoring identificeerde een adres dat aan de exploiter is gekoppeld toen dit in begin juni 2026 ongeveer $10 miljoen aan DAI, een aan de dollar gekoppelde stablecoin, omzette in meer dan 6.300 ETH. De aankopen vonden plaats tegen een gemiddelde prijs van circa $1.600 per ETH. De attributie op de blockchain berust in deze zaak echter op analyse van transactiestromen en niet op definitief bewijs van eigendom.

De wallet transfereerde vervolgens 100 ETH naar Tornado Cash, een op privacy gerichte cryptomixer die stortingen bundelt en opnames uitvoert op een manier die is ontworpen om de on-chain koppeling tussen afzender en ontvanger te verbreken. De tool heeft een opvallende regulatorische geschiedenis: het Office of Foreign Assets Control van het Amerikaanse Ministerie van Financiën legde Tornado Cash in augustus 2022 sancties op vanwege het gebruik voor het witwassen van opbrengsten van cybercriminaliteit en hief die sancties in maart 2025 op nadat een Amerikaans hoger beroepshof oordeelde dat onveranderlijke smart contracts niet als eigendom gesanctioneerd konden worden. De transactie heeft tot extra kritische controle geleid omdat het adres is gekoppeld aan gelden uit de eerdere exploit.

De Pando Rings-aanval van 2022

Pando Rings, een gedecentraliseerde kredietdienst gebouwd op Mixin Network, werd in november 2022 getroffen door een oracle-manipulatieaanval. Dergelijke aanvallen richten zich op de prijsdata waarvan leenprotocollen afhankelijk zijn om onderpand te waarderen, waardoor een aanvaller de schijnbare prijs van een asset kan opdrijven en daartegen kan lenen. Volgens Pando manipulateerde de aanvaller de prijs van een LP-token en probeerde hij ongeveer $70 miljoen aan crypto-activa buit te maken.

Het protocol meldde dat ongeveer $21,9 miljoen aan activa — waaronder ETH, EOS en BTC — de Mixin-wallets van de aanvaller verliet voordat tegemmaatregelen werden genomen. Pando zei ook een aanzienlijk deel van de resterende gelden te hebben bevroren met hulp van Mixin Network en haar community.

Na de aanval herstelde het protocol delen van zijn dienstverlening en herzag het zijn controles rondom leningen en onderpand.

Hernieuwde activiteit roept trackingzorgen op

De laatste transacties laten zien dat gelden die aan de exploit zijn gekoppeld jaren na het oorspronkelijke incident nog actief zijn. De grote ETH-aankoop illustreert bovendien hoe slapende crypto-activa zonder voorafgaande waarschuwing opnieuw op de markt kunnen verschijnen.

De overboeking naar Tornado Cash bemoeilijkt het traceren van latere bewegingen verder. Onderzoekers en blockchain-analisten kunnen transacties naar en van openbare adressen nog steeds volgen, maar privacytools kunnen attributie moeilijker maken.

Voor de cryptomarkten onderstreept de activiteit de voortdurende risico's van gecompromitteerde wallets en lang slapende exploit-opbrengsten. Traders en compliance-teams zullen de bijbehorende adressen vermoedelijk nauwlettend volgen op verdere ETH-bewegingen of pogingen om de activa om te zetten in andere cryptocurrencies.