El atacante detrás del exploit de la hot wallet de Binance encontró la manera de sortear los congelamientos de stablecoins: pedir prestado contra los fondos robados en lugar de venderlos. La investigación de TRM Labs rastreó la posición en Aave hasta una wallet vinculada al atacante, que aportó 60 millones de USDT como colateral y se llevó unos 19,762 ETH — 41 minutos antes de que se congelara el mercado de préstamos.

Por qué pedir prestado en lugar de vender

Las stablecoins robadas conllevan un riesgo inherente para el ladrón: sus emisores pueden congelarlas. Tether y Circle procedieron a congelar miles de millones en este incidente, que Binance ha confirmado en unos 6,300 millones de dólares, con pérdidas que serán cubiertas por su fondo SAFU y fondos de la empresa, según sus hallazgos preliminares. Varios investigadores de blockchain, incluidos TRM Labs y Chainalysis, han atribuido el robo a Corea del Norte, señalando a TraderTraitor, el grupo respaldado por el Estado al que el FBI culpó del hackeo de 1,500 millones de dólares a Bybit en 2025.

El ETH nativo no tiene emisor ni lista negra. Elliptic identifica la conversión de fondos robados en activos nativos como el eje de la respuesta del atacante a los congelamientos. Pedir prestado contra el USDT lo logró sin una venta: las stablecoins permanecieron en Aave como colateral y el atacante se llevó el ETH, mientras que la investigación también señaló ventas separadas de stablecoins a creadores de mercado.

El momento importa. Ambas transacciones de préstamo se ejecutaron a las 20:59 y 21:00 UTC, antes de que se reportara el primer congelamiento de Tether poco después de las 21:00.

Dos transacciones, 19,762 ETH

Etherscan etiqueta la dirección que pidió prestado como "Binance Hot Wallet Exploiter 3." En cada transacción, el ether envuelto (WETH) — la versión tokenizada del ETH que usan las aplicaciones de préstamos — salió de la reserva de Aave, se desenvolvió y llegó a la wallet como ETH nativo.

• 20:59:11 UTC, 29 de octubre: +3,271.4 ETH (Ver transacción)
• 21:00:59 UTC, 29 de octubre: +16,491.0 ETH (Ver transacción)

Total: unos 19,762.4 ETH. El primer congelamiento de mercado de Aave ocurrió a las 21:42, 41 minutos después.

Lo que el congelamiento de Aave pudo y no pudo hacer

El proveedor de riesgos LlamaRisk detalló la respuesta de Aave en una actualización del incidente a las 01:00 UTC del 30 de octubre:

• Nuevos depósitos bloqueados
• Nuevos préstamos bloqueados
• Reembolsos, retiros permitidos y liquidaciones siguen permitidos
• El ETH ya prestado permanece con el prestatario

Un congelamiento de mercado detiene el siguiente préstamo, no el último. El ETH que el atacante tomó prestado quedó bajo su control, aunque sigue visible en la cadena, y cualquier transferencia posterior a un exchange o custodio podría dar a los investigadores un punto de intervención. Incluir la dirección del prestatario en la lista negra del emisor de stablecoins es, además, un paso distinto a inmovilizar el USDT que ya se encuentra dentro del contrato de préstamos de Aave.

El préstamo que el atacante dejó atrás

A las 01:00 UTC, LlamaRisk valoró la posición en:

• Colateral (USDT): $59.9M
• Colchón: $16.1M
• Loan-to-value: ~73%
• Deuda (ETH): $43.8M

LlamaRisk describió la posición como sobrecolateralizada y sujeta a liquidación normal. Tomar el ETH no dejó, por tanto, en ese momento, a Aave con una pérdida equivalente al préstamo. La deuda y el colateral deben leerse juntos: un saldo de colateral en un explorador de bloques no es efectivo gastable, y un token de deuda mostrado sin precio sigue siendo una deuda.

La misma lógica aplica al conteo del robo. Los 60 millones de USDT y el ETH tomado en préstamo contra ellos forman una sola posición, así que contar ambos como pérdidas separadas de Binance duplicaría el colateral.

Qué haría un precio más alto de ETH con el préstamo

El colateral está vinculado al dólar, pero la deuda está denominada en ETH. Cuando ETH sube, la deuda crece en términos de dólares mientras el USDT se mantiene plano, y los intereses acumulados también aumentan la deuda. Bajo el marco de factor de salud de Aave, una posición puede liquidarse cuando su colateral, ajustado por un umbral de liquidación, ya no cubre la deuda.

La cifra de deuda de 43.8 millones de dólares implica un ETH de unos $2,216. Manteniendo fija la deuda de 19,762.4 ETH, el límite exterior de la posición se sitúa cerca de $3,031 — pero ese es el techo, no el disparador. Como Aave cuenta el colateral con un umbral de liquidación inferior al 100%, la posición sería liquidable mucho antes de que ETH alcanzara ese nivel. El punto exacto depende de los parámetros del mercado, los precios de los oráculos y los intereses acumulados en un bloque dado. En una liquidación, el liquidador paga parte de la deuda y recibe colateral más una prima.

El costo para los usuarios comunes de Aave

Congelar los depósitos para detener al atacante también cortó la liquidez fresca para todos los demás, mientras los proveedores existentes seguían retirando. En una recomendación separada del 30 de octubre, LlamaRisk propuso recortes temporales de tasas de interés, señalando que la utilización había subido a medida que los proveedores retiraban fondos y que tasas más altas apretarían a los prestatarios sin atraer nuevos depósitos mientras las reservas estaban congeladas. Qué cambios se llevaron a cabo aún no ha sido confirmado.

El ETH ya salió de Aave. Lo que ocurra con los 60 millones de USDT que hay detrás — mediante reembolso, liquidación o una acción de recuperación contra el colateral — decidirá ahora cómo se liquida finalmente el préstamo del atacante.

Este artículo se proporciona únicamente con fines informativos y no constituye asesoramiento financiero ni de inversión. Apareció originalmente en Coindoo.