Los atacantes detrás de la brecha de seguridad de Binance, que BitcoinKE ha descrito como el mayor exploit cripto de la historia, recurrieron al protocolo de préstamos de finanzas descentralizadas (DeFi) Aave para convertir stablecoins robadas en Ethereum, buscando mover los activos fuera del alcance de los emisores centralizados capaces de congelarlos.

Los datos on-chain muestran que una cartera vinculada a los atacantes depositó aproximadamente $60 millones en USDT robado como colateral en Aave V3 en Ethereum y tomó prestados 19,762 wrapped Ether (WETH), con un valor de alrededor de $44.6 millones en ese momento. La maniobra ofreció un camino para sortear una de las herramientas más confiables de los investigadores: los congelamientos de stablecoins a nivel del emisor.

Por qué los ladrones de stablecoins apuntan a Ether

La estrategia pone de relieve una vulnerabilidad clave en las investigaciones de robos cripto. Si bien las stablecoins como USDT y USDC pueden ser congeladas por sus emisores cuando están vinculadas a actividad criminal sospechosa, Ethereum no tiene un emisor central con la misma capacidad de incluir direcciones individuales en listas negras y evitar transferencias. El emisor de USDT, Tether, y el emisor de USDC, Circle, ya han incluido previamente en listas negras direcciones vinculadas a actividades ilícitas.

Al tomar prestado a través de Aave, los atacantes usaron efectivamente el USDT robado como colateral para obtener un activo alternativo sin tener que vender las stablecoins directamente por ETH en un exchange centralizado. El wrapped Ether es una forma tokenizada de Ether diseñada para su uso en contratos inteligentes, y no tiene ninguna empresa emisora capaz de incluir direcciones en listas negras ni congelar saldos. El WETH tomado en préstamo podía luego moverse a través de otras carteras y convertirse en ETH, haciendo que los fondos fueran más difíciles de inmovilizar mediante congelamientos a nivel del emisor.

Una ventana de 40 minutos antes del congelamiento

El momento fue crítico. La transacción en Aave se realizó entre las 20:58 y las 21:01 UTC, aproximadamente 40 minutos antes del primer congelamiento de emergencia de los mercados de Aave. Esto les dio a los atacantes la oportunidad de tomar prestado contra el colateral antes de que el protocolo restringiera la nueva actividad de préstamos.

En un comunicado posterior, Aave confirmó que la posición mantenía aproximadamente $59.9 millones en colateral de USDT contra $43.8 millones en deuda pendiente. El protocolo indicó que la posición estaba sobregarantizada —es decir, que el colateral aportado excedía la deuda—, seguía sujeta a los procedimientos normales de liquidación y no expuso a los proveedores de Aave a pérdidas.

El incidente llevó a Aave a coordinar una respuesta de emergencia con sus proveedores de servicios de riesgo, congelando reservas en múltiples redes para evitar más depósitos y préstamos. La intervención cubrió 175 reservas en Aave V3 en 16 redes y 117 reservas en Aave V4 en cuatro redes.

No fue un exploit de los contratos de Aave

Es importante destacar que el incidente no involucró un exploit de los contratos inteligentes de Aave. En cambio, los atacantes usaron la funcionalidad legítima de préstamos del protocolo como ruta de salida, demostrando cómo la infraestructura financiera descentralizada puede convertirse en parte del proceso de lavado tras grandes brechas de exchanges.

El episodio también expone un desafío difícil para los protocolos DeFi: cómo brindar acceso sin permisos a los servicios financieros mientras se responde a la actividad criminal que puede moverse rápidamente a través de una infraestructura de préstamos y trading que funciona con normalidad.

Con los congelamientos de emergencia vigentes, las preguntas inmediatas son cómo se resolverá la posición aún abierta de los atacantes mediante los procedimientos normales de liquidación de Aave, y si el WETH tomado en préstamo se mueve más a través de carteras adicionales —desarrollos que mostrarán cómo interactúan los controles a nivel del emisor y la infraestructura de préstamos sin permisos una vez que los fondos robados pasan entre ellos.

Fuente: BitcoinKE