Die Angreifer hinter dem Sicherheitsvorfall bei Binance, den BitcoinKE als den größten Krypto-Exploit der Geschichte bezeichnet hat, wandten sich an das Dezentral-Finance-(DeFi)-Kreditprotokoll Aave, um gestohlene Stablecoins in Ethereum umzuwandeln und die Assets außerhalb der Reichweite zentraler Emittenten zu bewegen, die sie einfrieren könnten.

On-Chain-Daten zeigen, dass eine Wallet, die mit den Angreifern in Verbindung gebracht wird, rund 60 Millionen US-Dollar in gestohlenem USDT als Sicherheit auf Aave V3 auf Ethereum hinterlegte und sich 19.762 Wrapped Ether (WETH) im Wert von damals etwa 44,6 Millionen US-Dollar lieh. Das Manöver bot einen Weg vorbei an einem der zuverlässigsten Werkzeuge der Ermittler: emittentenseitigen Stablecoin-Freeze.

Warum Stablecoin-Diebe Ether ins Visier nehmen

Die Strategie verdeutlicht eine zentrale Schwachstelle bei Ermittlungen zu Krypto-Diebstählen. Während Stablecoins wie USDT und USDC von ihren Emittenten eingefroren werden können, wenn sie mit mutmaßlicher krimineller Aktivität in Verbindung gebracht werden, hat Ethereum keinen zentralen Emittenten mit derselben Befugnis, einzelne Adressen auf Sperrlisten zu setzen und Überweisungen zu verhindern. Der USDT-Emittent Tether und der USDC-Emittent Circle haben beide zuvor bereits Adressen auf Sperrlisten gesetzt, die mit illegalen Aktivitäten in Verbindung gebracht wurden.

Durch die Kreditaufnahme über Aave nutzten die Angreifer den gestohlenen USDT effektiv als Sicherheit, um ein alternatives Asset zu erhalten, ohne die Stablecoins direkt auf einer zentralisierten Börse gegen ETH verkaufen zu müssen. Wrapped Ether ist eine tokenisierte Form von Ether für die Verwendung in Smart Contracts und hat kein emittierendes Unternehmen, das Adressen auf Sperrlisten setzen oder Guthaben einfrieren könnte. Der geliehene WETH konnte anschließend über andere Wallets bewegt und in ETH umgewandelt werden, was eine Immobilisierung der Erlöse durch emittentenseitige Freeze erschwert.

Ein 40-Minuten-Fenster vor dem Freeze

Das Timing war entscheidend. Die Aave-Transaktion fand zwischen 20:58 und 21:01 UTC statt, etwa 40 Minuten vor der ersten Notfall-Freeze der Aave-Märkte. Dies verschaffte den Angreifern die Möglichkeit, sich gegen die Sicherheit zu verschulden, bevor das Protokoll neue Kreditaktivitäten einschränkte.

In einer anschließenden Erklärung bestätigte Aave, dass die Position rund 59,9 Millionen US-Dollar in USDT-Sicherheit gegen 43,8 Millionen US-Dollar ausstehender Schulden hielt. Das Protokoll teilte mit, dass die Position überbesichert war — das heißt, die hinterlegte Sicherheit überstieg die geschuldeten Schulden —, den üblichen Liquidationsverfahren unterlag und keine Verluste für Aave-Kapitalgeber verursachte.

Der Vorfall veranlasste Aave, eine Notfallreaktion mit seinen Risikodienstleistern zu koordinieren und Reserven über mehrere Netzwerke einzufrieren, um weitere Einlagen und Kreditaufnahmen zu verhindern. Die Maßnahme umfasste 175 Reserven auf Aave V3 über 16 Netzwerke und 117 Reserven auf Aave V4 über vier Netzwerke.

Kein Exploit der Aave-Verträge

Wichtig ist, dass der Vorfall keinen Exploit der Smart Contracts von Aave beinhaltete. Stattdessen nutzten die Angreifer die legitimen Kreditfunktionen des Protokolls als Rückzugsweg – ein Beleg dafür, wie dezentrale Finanzinfrastruktur nach großen Börsen-Hacks Teil des Geldwäsche Prozesses werden kann.

Der Vorfall offenbart zudem eine schwierige Herausforderung für DeFi-Protokolle: wie sie uneingeschränkten Zugang zu Finanzdienstleistungen bieten und gleichzeitig auf kriminelle Aktivitäten reagieren können, die sich rasch durch ansonsten funktionsfähige Kredit- und Handelsinfrastruktur bewegen können.

Mit den Notfall-Freeze lauten die unmittelbaren Fragen, wie die noch offene Position der Angreifer durch die üblichen Liquidationsverfahren von Aave abgewickelt wird und ob der geliehene WETH über weitere Wallets bewegt wird – Entwicklungen, die zeigen werden, wie emittentenseitige Kontrollen und erlaubnisfreie Kreditinfrastruktur zusammenwirken, sobald gestohlene Gelder zwischen ihnen wandern.

Quelle: BitcoinKE