Il protocollo di lending della finanza decentralizzata Aave ha congelato centinaia di mercati di lending su più reti blockchain a seguito del presunto exploit da 6,3 miliardi di dollari dell'hot wallet di Binance, con l'obiettivo di impedire all'aggressore di utilizzare gli asset rubati come garanzia per ottenere ulteriori fondi.

In un aggiornamento pubblicato il 30 ottobre 2026 sul forum di governance, LlamaRisk, fornitore di servizi di rischio di Aave, ha dichiarato di aver coordinato una risposta di emergenza con Aave Labs, TokenLogic e Certora entro 10 minuti dalle prime segnalazioni dell'incidente.

Centinaia di riserve congelate su Aave V3 e V4

L'azione di emergenza ha portato al congelamento di 175 riserve su 16 reti di Aave V3 e di altre 117 riserve su quattro reti di Aave V4. Le reti interessate includono Ethereum, Arbitrum, Avalanche, Base, BNB Chain, Optimism, Polygon e diverse altre.

I congelamenti sono stati eseguiti dal guardian multisig di Aave tra le 21:42 e le 23:04 UTC del 29 ottobre, secondo l'aggiornamento del forum.

L'aggressore aveva già utilizzato Aave per prendere in prestito 44,6 milioni di dollari

LlamaRisk ha rivelato che un wallet appartenente al presunto cluster dell'exploiter di Binance aveva interagito con Aave prima dell'entrata in vigore delle restrizioni di emergenza.

Tra le 20:58 e le 21:01 UTC, il wallet ha depositato 60 milioni di dollari nella stablecoin USDT di Tether nel mercato Ethereum Core di Aave V3 e ha preso in prestito 19.762 Wrapped Ether (WETH), del valore di circa 44,6 milioni di dollari all'epoca.

La transazione ha di fatto convertito gli USDT — che l'emittente può congelare — in Wrapped Ether, che non dispone dello stesso meccanismo di congelamento centralizzato. Il prestito è avvenuto circa 40 minuti prima che Aave eseguisse il primo congelamento del mercato.

LlamaRisk ha dichiarato che nessun wallet associato all'aggressore ha interagito con il protocollo dalle 21:01 UTC. La posizione detiene attualmente circa 59,9 milioni di dollari in garanzia USDT a fronte di 43,8 milioni di dollari di debito in essere, risultando così sovracollateralizzata e soggetta alle normali procedure di liquidazione.

Secondo Aave, la posizione è l'unica esposizione dell'aggressore al protocollo su tutte le reti e versioni, e non rappresenta un rischio per i fornitori di liquidità.

Perché Aave ha congelato i mercati su più reti

Invece di limitare soltanto i token specifici rubati da Binance, Aave ha scelto di congelare le attività di prestito e borrowing sui propri mercati. LlamaRisk ha spiegato che l'aggressore poteva scambiare gli asset rubati con qualsiasi token quotato su Aave e utilizzare successivamente tali asset come garanzia per prendere in prestito altre criptovalute. Limitare solo i token rubati avrebbe quindi lasciato all'aggressore percorsi alternativi per accedere alla liquidità tramite il protocollo di lending.

Il team ha inoltre scelto il congelamento di emergenza perché il guardian multisig di Aave può invertire le restrizioni. Una riduzione dei massimali di offerta e borrowing avrebbe invece richiesto una votazione di governance e circa cinque giorni per essere ripristinata.

Il congelamento impedisce agli utenti, incluso l'aggressore, di aprire nuove posizioni di offerta o di borrowing. Tuttavia, gli utenti esistenti possono ancora ritirare gli asset e ripagare i prestiti in essere, e le liquidazioni proseguono normalmente. Poiché gli utenti non possono aggiungere garanzie alle posizioni esistenti mentre le riserve interessate restano congelate, il rimborso dei prestiti è l'unico modo per migliorare i propri health factor durante le restrizioni.

Impatto sul mercato delle criptovalute e attività delle stablecoin

Aave ha riferito che i suoi feed degli oracle, che forniscono i prezzi esterni degli asset utilizzati per calcolare i valori delle garanzie e le liquidazioni, hanno continuato a funzionare normalmente durante l'incidente.

Alle 00:55 UTC del 30 ottobre, Bitcoin ed Ether erano entrambi scesi di circa il 4% dal momento del svuotamento del wallet di Binance.

State of the market following the #BinanceHack news.

— BitKE (@BitcoinKE) October 30, 2026

Diversi token di governance detenuti dall'aggressore hanno registrato cali più marcati, con AAVE e LINK di Chainlink in calo di circa il 9%, UNI di Uniswap giù dell'8% e ARB di Arbitrum in ribasso del 6%. Aave ha dichiarato che i congelamenti del mercato hanno impedito all'aggressore di depositare questi token nei suoi mercati di lending, mentre le posizioni esistenti garantite da tali asset sono rimaste sane.

Anche la stablecoin GHO del protocollo ha registrato un lieve calo, passando da circa 0,998 a 0,997 dollari, mentre i possessori hanno riscattato circa 4,6 milioni di GHO in USDT tramite il GHO Stability Module tra le 21:49 e le 22:07 UTC.

Le restrizioni rimarranno in vigore fino al miglioramento del contenimento da parte di Binance

Aave ha dichiarato che i mercati interessati rimarranno congelati fino a quando i fondi dell'aggressore cesseranno di muoversi e ci sarà maggiore chiarezza sugli sforzi di Binance per contenere l'incidente. Il protocollo prevede di coordinarsi con Aave Labs e altri fornitori di servizi per una riapertura graduale dei mercati appena le condizioni lo permetteranno.

LlamaRisk ha avvertito che restrizioni prolungate potrebbero influire anche sulla liquidità del mercato di lending. Poiché le riserve congelate non possono ricevere nuovi depositi, prelievi consistenti potrebbero aumentare i tassi di utilizzazione e i costi di borrowing per gli utenti rimasti.

La risposta evidenzia come una violazione della sicurezza che coinvolge un exchange centralizzato possa estendersi alla finanza decentralizzata, dove gli asset rubati possono essere convertiti in garanzie utilizzate per accedere alla liquidità o spostati attraverso più protocolli.

Aave ha dichiarato che continuerà a tracciare i wallet dell'aggressore su Ethereum, Arbitrum, Optimism e Avalanche, monitorando al contempo i feed dei prezzi e i potenziali rischi di liquidazione.