Der Angreifer hinter dem Binance-Exploit des Hot Wallets fand einen Weg um die Stablecoin-Freeze: Er lieh gegen die gestohlenen Gelder, statt sie zu verkaufen. Die Untersuchung von TRM Labs führte die Aave-Position auf ein mit dem Angreifer verbundenes Wallet zurück, das 60 Millionen USDT als Sicherheiten hinterlegte und mit rund 19.762 ETH abzog – 41 Minuten, bevor der Kreditmarkt eingefroren wurde.

Warum leihen statt verkaufen

Gestohlene Stablecoins bergen für einen Dieb ein eingebautes Risiko: Ihre Emittenten können sie einfrieren. Tether und Circle fror im Zuge dieses Vorfalls Milliarden ein; Binance beziffert den Gesamtschaden auf etwa 6,3 Milliarden US-Dollar, die Verluste sollen aus dem SAFU-Fonds und Unternehmensmitteln gedeckt werden, wie aus den ersten Erkenntnissen hervorgeht. Mehrere Blockchain-Ermittler, darunter TRM Labs und Chainalysis, haben den Diebstahl Nordkorea zugeschrieben und verweisen auf TraderTraitor, die staatlich unterstützte Gruppe, der das FBI bereits den Bybit-Hack von 1,5 Milliarden US-Dollar im Jahr 2025 zuschrieb.

Natives ETH hat keinen Emittenten und keine Blacklist. Elliptic sieht die Umwandlung gestohlener Gelder in native Assets als Kern der Reaktion des Angreifers auf die Freeze an. Das Ausleihen gegen USDT erreichte dies ohne einen Verkauf: Die Stablecoins blieben als Sicherheiten auf Aave, und der Angreifer zog mit ETH ab, während die Untersuchung auch separate Stablecoin-Verkäufe an Market Makers vermerkte.

Das Timing ist entscheidend. Beide Ausleihtransaktionen gingen um 20:59 und 21:00 UTC ein, bevor kurz nach 21:00 Uhr die erste Tether-Freeze gemeldet wurde.

Zwei Transaktionen, 19.762 ETH

Etherscan bezeichnet die Kreditadresse als "Binance Hot Wallet Exploiter 3." In jeder Transaktion verließ Wrapped Ether (WETH) – die Token-Version von ETH, die Kreditplattformen verwenden – die Reserve von Aave, wurde entwrapped und gelangte als natives ETH in das Wallet.

• 20:59:11 UTC, 29. Oktober: +3.271,4 ETH (Transaktion ansehen)
• 21:00:59 UTC, 29. Oktober: +16.491,0 ETH (Transaktion ansehen)

Gesamt: etwa 19.762,4 ETH. Die erste Markt-Freeze von Aave folgte um 21:42 Uhr, 41 Minuten später.

Was das Freeze von Aave konnte – und was nicht

Der Risikodienstleister LlamaRisk beschrieb die Reaktion von Aave in einem Incident-Update um 01:00 UTC am 30. Oktober:

• Neue Einlagen blockiert
• Neue Kredite blockiert
• Rückzahlungen, erlaubte Abhebungen und Liquidationen weiterhin möglich
• Bereits geliehenes ETH verbleibt beim Kreditnehmer

Ein Markt-Freeze stoppt den nächsten Kredit, nicht den letzten. Das geliehene ETH blieb unter der Kontrolle des Angreifers, bleibt jedoch onchain sichtbar, und jede spätere Überweisung an eine Börse oder einen Custodian könnte Ermittlern einen Ansatzpunkt zum Eingreifen geben. Das Sperren der Kreditnehmeradresse beim Stablecoin-Emittenten ist zudem ein separater Schritt von der Stilllegung der USDT, die sich bereits im Kreditvertrag von Aave befinden.

Der Kredit, den der Angreifer zurückließ

Um 01:00 UTC bezifferte LlamaRisk die Position wie folgt:

• Sicherheiten (USDT): 59,9 Mio. USD
• Puffer: 16,1 Mio. USD
• Loan-to-Value: ~73 %
• Schulden (ETH): 43,8 Mio. USD

LlamaRisk beschrieb die Position als überbesichert und der normalen Liquidation unterworfen. Die Entnahme der ETH hinterließ Aave zu diesem Zeitpunkt also keinen Verlust in Höhe des Kredits. Schulden und Sicherheiten müssen zusammen betrachtet werden: Ein Kollateralguthaben in einem Block-Explorer ist kein ausgebbares Bargeld, und ein ohne Kurs angezeigter Schulden-Token bleibt dennoch eine Schuld.

Dieselbe Logik gilt für die Schadensbilanz. Die 60 Millionen USDT und die dagegen geliehenen ETH bilden eine einzige Position; eine separate Zählung beider als Binance-Verluste würde die Sicherheiten doppelt erfassen.

Was ein höherer ETH-Kurs für den Kredit bedeutet

Die Sicherheiten sind dollargebunden, die Schulden lautet jedoch auf ETH. Steigt ETH, wächst die Schuld in Dollar gerechnet, während die USDT konstant bleiben, und aufgelaufene Zinsen erhöhen die Schuld zusätzlich. Nach dem Health-Factor-Rahmenwerk von Aave kann eine Position liquidiert werden, sobald ihre Sicherheiten, angepasst an eine Liquidationsschwelle, die Schulden nicht mehr decken.

Die Schuldenfigur von 43,8 Millionen US-Dollar impliziert ETH bei etwa 2.216 US-Dollar. Bei fester Schuldenhöhe von 19.762,4 ETH liegt die äußere Grenze der Position nahe 3.031 US-Dollar – doch das ist die Obergrenze, nicht der Auslöser. Da Aave die Sicherheiten mit einer Liquidationsschwelle unter 100 % ansetzt, würde die Position bereits deutlich vorher liquida­tionierbar, bevor ETH dieses Niveau erreicht. Der genaue Punkt hängt von den Marktparametern, Oracle-Preisen und aufgelaufenen Zinsen im jeweiligen Block ab. Bei einer Liquidation tilgt ein Liquidator einen Teil der Schuld und erhält die Sicherheiten zuzüglich eines Bonus.

Der Preis für gewöhnliche Aave-Nutzer

Das Einfrieren der Einlagen zur Stopuhr des Angreifers schnitt auch allen anderen die frische Liquidität ab, während bestehende Einleger weiter abzogen. In einer separaten Empfehlung vom 30. Oktober schlug LlamaRisk vorübergehende Zinssenkungen vor und verwies darauf, dass die Auslastung gestiegen war, da Einleger Mittel abzogen, und dass höhere Zinsen Kreditnehmer belasten würden, ohne neue Einlagen anzuziehen, während die Reserven eingefroren waren. Welche Änderungen tatsächlich umgesetzt wurden, ist bislang nicht bestätigt.

Das ETH ist von Aave weg. Was mit den 60 Millionen USDT dahinter geschieht – durch Rückzahlung, Liquidation oder eine gegen die Sicherheiten gerichtete Rückholmaßnahme – entscheidet nun, wie der Kredit des Angreifers endgültig abgerechnet wird.

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Er erschien ursprünglich auf Coindoo.