Los atacantes detrás de el hackeo estimado en USD 6.300 millones a Binance aún controlan miles de millones de dólares en criptomonedas robadas, pese a una rápida ola de esfuerzos de congelamiento por parte de los emisores de tokens. El episodio se ha convertido en una prueba en vivo de las herramientas de intervención onchain de las criptomonedas, mostrando tanto la rapidez con la que los emisores centralizados pueden accionar el freno de emergencia como los límites de ese poder.

El ataque, el mayor de la historia de las criptomonedas, comenzó a las 8:04 pm UTC del jueves, y los perpetradores —vinculados por los investigadores a los hackers norcoreanos responsables del hackeo a Bitget del mes pasado— se pusieron de inmediato a convertir los activos robados.

Su plan era intercambiar los activos que podían congelarse, como las stablecoins USDT y USDC, por otros que no podían, como Bitcoin (BTC) y Ether (ETH).

El ingeniero de CertiK Dickson Wu rastreó USD 500 millones en USDT que fueron enviados a una sola dirección, con USD 325 millones vendidos a creadores de mercado a cambio de ETH para las 20:59 UTC, menos de una hora después de que comenzara el hackeo. Los hackers competían contra algunos de los guardianes más poderosos del mundo cripto: gigantes de las stablecoins como Tether y Circle, que ya habían comenzado a incluir en listas negras las direcciones asociadas al robo.

Binance dijo el viernes que unos USD 3.000 millones de los activos robados habían sido congelados onchain de un total estimado en USD 6.300 millones, y que está trabajando con las autoridades policiales, los emisores de tokens y las firmas de análisis de blockchain para rastrear fondos adicionales.

La magnitud del robo es asombrosa incluso para los estándares cripto. Pero con aproximadamente la mitad de los activos ya inmovilizados, ¿cuánta de la criptomoneda robada pueden gastar realmente los perpetradores?

Cripto con botón de apagado

A diferencia de BTC o ETH, criptomonedas descentralizadas sin emisor central y sin nadie que pueda accionar el botón de pausa, las stablecoins centralizadas como el USDT de Tether y el USDC de Circle tienen emisores capaces de congelar los tokens mantenidos en direcciones específicas. Eso les da el poder de actuar con rapidez en incidentes como este.

Tether congeló alrededor de USD 1.567 millones en USDT en total, y el primer congelamiento importante se produjo apenas 37 minutos después de que los fondos robados llegaran a la billetera principal del atacante en Ethereum. Circle congeló unos USD 823 millones en USDC tres minutos después, y otros emisores, como Ripple y World Liberty Financial, siguieron su ejemplo poco después.

La capacidad de inmovilizar criptoactivos no es exclusiva de las stablecoins. Aunque los protocolos descentralizados carecen de emisores centrales, algunos no se quedaron de brazos cruzados: el Consejo de Seguridad de Arbitrum movió alrededor de USD 30,5 millones en ARB y ETH a una billetera intermediaria congelada, donde los fondos solo pueden moverse tras nuevas acciones del consejo o una votación de la gobernanza de Arbitrum DAO. Que el Consejo de Seguridad o una votación de la DAO devuelvan finalmente esos activos a Binance está por verse.

Queda una distinción importante: los fondos congelados no equivalen necesariamente a fondos recuperados. Inmovilizar los activos impide que los presuntos atacantes los gasten, pero no los devuelve automáticamente a Binance ni a sus usuarios.

La complicación de Aave

El protocolo de préstamos descentralizado Aave añade otra capa de complejidad. Entre las 20:58 y las 21:01 UTC, una billetera asociada a los atacantes depositó USD 60 millones en USDT en Aave V3 en Ethereum y tomó prestados USD 44,6 millones en wrapped Ether (WETH), unos 40 minutos antes del primer congelamiento.

LlamaRisk, un proveedor de servicios de riesgo de Aave, indicó en su actualización de la 1:00 am que la posición del atacante mantenía posteriormente alrededor de USD 59,9 millones en colateral de USDT frente a USD 43,8 millones en deuda. Aave afirmó que la posición seguía sobregarantizada y que no ponía en riesgo a los proveedores del protocolo.

Dado que el USDT ya había sido depositado en el pool de préstamos de Aave, incluir la billetera del atacante en una lista negra no podía recuperar automáticamente el colateral en poder del protocolo. Como explicó Marc Zeller, fundador de Aave Chan Initiative: "El USDT es dinero real respaldado por dólares, y la posición es criminal pero está sobregarantizada a ojos del protocolo".

Para evitar más depósitos y préstamos, Aave congeló temporalmente los mercados en sus despliegues V3 y V4, aunque los usuarios existentes podían seguir retirando fondos, reembolsando préstamos y liquidando posiciones. El protocolo luego levantó su congelamiento precautorio en los mercados V3 y V4, afirmando que sus contratos no habían sido afectados y que las posiciones seguían sobregarantizadas. La posición de préstamo del propio atacante seguía en pie, y qué será del colateral de origen criminal que sostiene aún está por resolverse.

"Solo otro día más en el mundo cripto", dijo Zeller.

¿Qué pueden quedarse realmente los atacantes?

La firma de análisis onchain Elliptic estimó que USD 2.840 millones habían sido congelados para las 7:00 am UTC del viernes, mientras que los atacantes aún controlaban alrededor de USD 3.330 millones en activos que los emisores no pudieron inmovilizar.

Y aunque los congelamientos casi redujeron a la mitad el pool de ganancias de los atacantes, eso no significa que todos los fondos restantes puedan recuperarse con seguridad. Bitcoin y Ether no tienen un emisor centralizado de tokens que pueda incluir direcciones individuales en listas negras como lo hacen Tether o Circle. Una vez que los activos robados se convierten en estas criptomonedas nativas, las transacciones pueden restringirse, pero congelarlas realmente es mucho más difícil.

Binance se ha comprometido a cubrir todas las pérdidas utilizando su Secure Asset Fund for Users (SAFU) —el fondo de reserva de emergencia del exchange destinado a proteger los fondos de los usuarios en situaciones extremas— y fondos de la compañía, y afirma que los activos de los usuarios permanecen seguros. Según la última actualización del director ejecutivo de Binance, Richard Teng, el exchange ya está "recuperando los activos robados para los usuarios". Con las autoridades policiales, los emisores de tokens y las firmas de análisis de blockchain todavía rastreando los flujos, el destino de los aproximadamente USD 3.330 millones restantes —y cuánto puede inmovilizarse o recuperarse— ayudará a determinar el costo final del mayor hackeo de la historia de las criptomonedas.