Los hackers blanquean los 27 millones de dólares robados en el ciberataque al protocolo Penpie a través de Tornado.cash, THORChain y el exchange Exch

En un sofisticado hackeo que tuvo lugar el 3 de septiembre de 2024, se explotó una vulnerabilidad en los contratos inteligentes del protocolo Penpie, lo que resultó en el robo de más de 27 millones de dólares. Penpie, un protocolo de rendimiento sobre Pendle diseñado para maximizar las recompensas de sus usuarios, se convirtió en el objetivo de un ataque bien coordinado.

El hackeo y los primeros movimientos

El hacker, al descubrir la vulnerabilidad, logró vaciar los fondos del protocolo Penpie. Poco después, los fondos robados se distribuyeron entre siete direcciones:
0xd440d2c13e9c0b86f54da4f515f68c56f0c36cc3
0x37767e2d9131c84441567da5474158b0918b65a4
0x8c37ad70ce51e54d2d75da40668e9530d337f26b
0x10f8c81386a2563f687011f4ebc8f2091cb501e8
0x688413d6cae1c0e0882e274a98e0b901fdf7233c
0xf61aa5fdb43ecbb90ff12086045c9432eee3d03e
0x415a7916c0f52a95f16034d74fb89528c0fc1b11
En un intento de ocultar el rastro, el hacker canalizó los fondos robados a través del servicio de mezcla de criptomonedas centrado en la privacidad Tornado.cash. Como en muchos casos similares, rastrear los fondos a través de Tornado.cash presentó desafíos significativos debido a la naturaleza de las rupturas de la cadena de transacciones que se producen durante el mezclado. Sin embargo, usando técnicas avanzadas, los analistas de Match Systems fueron capaces de identificar destinos probables para algunos de los fondos blanqueados.

THORChain y la consolidación en BTC

Tras pasar por Tornado.cash, el grueso de los activos robados —que ascendía a 4.879 ETH— se rastreó hasta el puente de criptomonedas THORChain. Desde allí, los fondos se convirtieron y se consolidaron en tokens BTC. Estos fondos se distribuyeron entre varias direcciones «recolectoras» en partes de 4 u 8 BTC, sumando un total de 188 BTC (parte de los fondos se mezclaron con fondos de otros hackeos):
bc1qqhlf4vau5k9skw3kfleanuc52y9vwevjg3e8du
bc1q08xthryj52nf7gmk0j8v8zr8vumt2wfguvftxj
bc1q6m6xfryxqplmz07kr0g3atzrcmtnynr3d2r6xd
bc1qgasehvksj4kj9tz93l5z8eyhqenm42xf9clu7d
bc1qg62v4q5lgtqq5a87epx56nfhmv4jtmmgcf99el
bc1qv8tdsa42s7n8z3cj7ygy59lrkr3uumar7qgygy
bc1qvq79fqwnlyzsruc9qxya0m5g8nl806dtnsug3v
bc1qfyejx568ephjtwsqt2nt4kfksygsl72grqfr0g
bc1qk2g2xavrlwqq92lam6hjallx8893cdrxxkqky4
bc1qp8lptxmzj9hz3pfey37j2kp6vjgadmgfklvdyp
bc1qhkkqcmjqgld2kd7p7c7m4svgmtgylhdryzw5f8
bc1q30rt7lfkh0ezkgf3pxygp09zgaycwlwu7ea8r8
bc1qdvkwmmnwfryua36el5y2xnqt2w7x6447hy5nxc
bc1qgrglcudgxesyuv23cwxasuw0zanh6qks5eu5es
bc1qzhsge8z4ffrlrhkrw7wxd59e6u5tfd9u3lvk09
bc1qgf9t2ysgpcnxp8g2y0hk9zushxc0z3kqr682zt
bc1qq3wjvfuesc9wewkuz7nxkmhgs260exmxjqt8sd
bc1q2cm7mflnplasnxetn5mrkcqc7zwuyfjmm3vnyy
bc1q9v6dwrgncam92wwk5d8hkd4yghqt2gn8jqmqky
bc1qqc8a5e9klvh45s60szuppha669n0r0dgm4dtqn
bc1q72e5nxlzmfpv60pkf2gqhy4n9drtm2x8t77w7g
bc1qzfvpynh3eq0gcl6mw3zg0ga6z63u2ujhglhza9
bc1qw8vmz4fexld6hhjxpfua9n3j0wfxyu6xahzmp3
bc1q9t6ztrahwvh25rjtzk3ltkxwwk5ef6lwkhyx5g
bc1q9reefhx8p3vw6re3yhgvx8776xt8xczpcw0y7l
bc1qk6ty9lnyz7rg0wxsurgxswppe9mkk2r740jac6
bc1qzq435fc5umvr000nelu4r9gk5dx3xyp2zwsmy3
bc1qy6aws20q5q6rst9zs93x2jn2tg9t7xtelcqmw8
bc1qk0kkapemem6ys03e234wask5jcy8qkrrt6fm94
bc1qyj95msu7exzvvunseqy5v52xgpexecllqh76ry
bc1qhd7qyalqes9gy3yjua6rx75ywxl42x5dt6ea0k
bc1q8y9e36567433u0u5cym6neprm4e9uj0gw5wy96
bc1q2jz93p8ugmcnxvgqxdv99yz8jr5nykud4v45k4

Movimientos adicionales de fondos

Aunque la mayoría de los fondos robados se encaminaron a través de THORChain, una porción menor, de aproximadamente 4.082 ETH, se envió al exchange Exch. Esta porción sigue bajo investigación. El resto de los activos se repartió entre varias decenas de direcciones tras el mezclado.

La compleja red del blanqueo de cripto

Este ataque pone de relieve los métodos cada vez más sofisticados que emplean los hackers para robar y blanquear fondos a través de plataformas descentralizadas. Tornado.cash y los puentes entre cadenas como THORChain se han convertido en herramientas clave para ocultar el origen de los fondos ilícitos, lo que dificulta que las fuerzas del orden y los analistas de blockchain rastreen el flujo completo de los activos robados.
El ataque a Penpie es un claro ejemplo de la batalla continua entre los ciberdelincuentes y los profesionales de la ciberseguridad. Aunque el uso de mezcladores crea barreras significativas para el rastreo, las técnicas avanzadas de «demixing» y las herramientas de análisis de blockchain han hecho posible restablecer algunos de los vínculos transaccionales.
Match Systems, líder en ciberseguridad, ha participado activamente en el rastreo de este caso, aprovechando tecnologías de vanguardia para rastrear los activos robados, aunque los resultados siguen siendo probabilísticos más que definitivos.
Este ataque sirve de crudo recordatorio de que, a medida que el mundo de las finanzas descentralizadas (DeFi) siga creciendo, también lo hará la sofisticación de quienes buscan explotar las vulnerabilidades dentro de él.

La visualización simplificada del movimiento de los fondos