Les attaquants à l'origine de la faille de sécurité de Binance, que BitcoinKE a décrite comme la plus grande exploitation de l'histoire des cryptomonnaies, se sont tournés vers le protocole de prêt de finance décentralisée (DeFi) Aave pour convertir des stablecoins volés en Ethereum, cherchant à déplacer des actifs hors de portée des émetteurs centralisés capables de les geler.

Les données on-chain montrent qu'un portefeuille lié aux attaquants a déposé environ 60 millions de dollars en USDT volés comme garantie sur Aave V3 sur Ethereum et a emprunté 19 762 wrapped Ether (WETH), d'une valeur d'environ 44,6 millions de dollars à l'époque. Cette manœuvre offrait un moyen de contourner l'un des outils les plus fiables des enquêteurs : le gel des stablecoins au niveau des émetteurs.

Pourquoi les voleurs de stablecoins ciblent l'Ether

La stratégie met en évidence une vulnérabilité clé dans les enquêtes sur les vols de cryptomonnaies. Alors que des stablecoins tels que USDT et USDC peuvent être gelés par leurs émetteurs lorsqu'ils sont liés à des activités criminelles suspectées, Ethereum n'a aucun émetteur central capable de blacklister des adresses individuelles et d'empêcher les transferts. L'émetteur d'USDT Tether et l'émetteur d'USDC Circle ont tous deux précédemment blacklisté des adresses liées à des activités illicites.

En empruntant via Aave, les attaquants ont effectivement utilisé les USDT volés comme garantie pour obtenir un actif alternatif sans avoir à vendre directement les stablecoins contre ETH sur une plateforme centralisée. Le wrapped Ether est une forme tokenisée de l'Ether conçue pour être utilisée dans les smart contracts, et il n'a aucune société émettrice capable de blacklister des adresses ou de geler des soldes. Le WETH emprunté pouvait ensuite être déplacé via d'autres portefeuilles et converti en ETH, rendant le produit du vol plus difficile à immobiliser par des gels au niveau des émetteurs.

Une fenêtre de 40 minutes avant le gel

Le timing était crucial. La transaction sur Aave a eu lieu entre 20h58 et 21h01 UTC, soit environ 40 minutes avant le premier gel d'urgence des marchés d'Aave. Cela a donné aux attaquants la possibilité d'emprunter contre la garantie avant que le protocole ne restreigne les nouvelles activités de prêt.

Dans un communiqué ultérieur, Aave a confirmé que la position détenait environ 59,9 millions de dollars de garantie en USDT contre 43,8 millions de dollars de dette en cours. Le protocole a indiqué que la position était surcollatéralisée — c'est-à-dire que la garantie déposée dépassait la dette due — restait soumise aux procédures de liquidation normales et n'a pas exposé les fournisseurs d'Aave à des pertes.

L'incident a amené Aave à coordonner une réponse d'urgence avec ses prestataires de services de risque, gelant des réserves sur plusieurs réseaux pour empêcher d'autres dépôts et emprunts. L'intervention a couvert 175 réserves sur Aave V3 sur 16 réseaux et 117 réserves sur Aave V4 sur quatre réseaux.

Pas une exploitation des contrats d'Aave

Fait important, l'incident n'a pas impliqué d'exploitation des smart contracts d'Aave. Au lieu de cela, les attaquants ont utilisé la fonctionnalité de prêt légitime du protocole comme voie de sortie, démontrant comment l'infrastructure financière décentralisée peut faire partie du processus de blanchiment à la suite de failles majeures touchant des plateformes d'échange.

Cet épisode expose également un défi difficile pour les protocoles DeFi : comment fournir un accès sans permission aux services financiers tout en répondant aux activités criminelles qui peuvent se déplacer rapidement à travers une infrastructure de prêt et de trading par ailleurs fonctionnelle.

Avec les gels d'urgence en place, les questions immédiates sont de savoir comment la position encore ouverte des attaquants sera résolue par les procédures de liquidation normales d'Aave, et si le WETH emprunté circulera davantage via d'autres portefeuilles — des développements qui montreront comment les contrôles au niveau des émetteurs et l'infrastructure de prêt sans permission interagissent lorsque des fonds volés circulent entre eux.

Source : BitcoinKE