Gli autori dell'hack stimato in 6,3 miliardi di dollari ai danni di Binance controllano ancora miliardi di dollari in criptovalute rubate, nonostante una rapida ondata di tentativi di congelamento da parte degli emittenti dei token. L'episodio è diventato una prova sul campo degli strumenti di intervento onchain delle criptovalute, mostrando sia quanto rapidamente gli emittenti centralizzati possano tirare il freno d'emergenza, sia dove quel potere si ferma.

L'attacco, il più grande nella storia delle criptovalute, è iniziato alle 20:04 UTC di giovedì, e i responsabili — collegati dagli investigatori agli hacker nordcoreani responsabili dell'hack a Bitget del mese scorso — hanno immediatamente iniziato a convertire gli asset rubati.

Il loro piano era di scambiare gli asset che potevano essere congelati, come le stablecoin USDT e USDC, con altri che non potevano esserlo, come Bitcoin (BTC) ed Ether (ETH).

L'ingegnere di CertiK Dickson Wu ha tracciato 500 milioni di dollari in USDT inviati a un unico indirizzo, di cui 325 milioni di dollari venduti ai market maker in cambio di ETH entro le 20:59 UTC — meno di un'ora dall'inizio dell'hack. Gli hacker hanno gareggiato contro alcuni dei gatekeeper più potenti del settore: colossi delle stablecoin come Tether e Circle, che avevano già iniziato a inserire in blacklist gli indirizzi associati al furto.

Binance ha dichiarato venerdì che circa 3 miliardi di dollari degli asset rubati erano stati congelati onchain, su un totale stimato di 6,3 miliardi di dollari, e che sta lavorando con le forze dell'ordine, gli emittenti di token e le società di analisi blockchain per tracciare ulteriori fondi.

L'entità del furto è sconvolgente anche per gli standard delle criptovalute. Ma con circa metà degli asset già immobilizzati, quanta parte delle criptovalute rubate può effettivamente essere spesa dai responsabili?

Criptovalute con un interruttore di spegnimento

A differenza di BTC o ETH, che sono criptovalute decentralizzate senza un emittente centrale e senza nessuno in grado di premere il pulsante di pausa, le stablecoin centralizzate come USDT di Tether e USDC di Circle hanno emittenti che possono congelare i token detenuti su indirizzi specifici. Questo dà loro il potere di agire rapidamente in incidenti come questo.

Tether ha congelato in totale circa 1,567 miliardi di dollari in USDT, con il primo grande congelamento avvenuto appena 37 minuti dopo che i fondi rubati erano raggiunti il portafoglio Ethereum principale dell'attaccante. Circle ha congelato circa 823 milioni di dollari in USDC tre minuti dopo, e altri emittenti, tra cui Ripple e World Liberty Financial, sono seguiti a breve.

La capacità di immobilizzare le criptovalute non è una caratteristica esclusiva delle stablecoin. Sebbene i protocolli decentralizzati manchino di emittenti centrali, alcuni non sono rimasti a guardare: il Security Council di Arbitrum ha spostato circa 30,5 milioni di dollari in ARB ed ETH in un portafoglio intermediario congelato, dove i fondi possono essere spostati solo dopo ulteriori azioni del council o una votazione della governance della Arbitrum DAO. Se sarà il Security Council o una votazione della DAO a restituire quegli asset a Binance resta da vedere.

Una distinzione importante resta valida: i fondi congelati non equivalgono necessariamente a fondi recuperati. Immobilizzare gli asset impedisce ai sospetti attaccanti di spenderli, ma non restituisce automaticamente il denaro a Binance o ai suoi utenti.

La complicazione Aave

Il protocollo di lending decentralizzato Aave aggiunge un ulteriore livello di complessità. Tra le 20:58 e le 21:01 UTC, un portafoglio associato agli attaccanti ha depositato 60 milioni di dollari in USDT in Aave V3 su Ethereum e ha preso in prestito 44,6 milioni di dollari di wrapped Ether (WETH), circa 40 minuti prima del primo congelamento.

LlamaRisk, un fornitore di servizi di rischio per Aave, ha dichiarato in il suo aggiornamento delle 1:00 che la posizione dell'attaccante deteneva successivamente circa 59,9 milioni di dollari di garanzia in USDT contro 43,8 milioni di dollari di debito. Aave ha dichiarato che la posizione rimaneva sovracollateralizzata e non metteva a rischio i fornitori di liquidità del protocollo.

Poiché gli USDT erano già stati depositati nel pool di lending di Aave, l'inserimento in blacklist del portafoglio dell'attaccante non poteva recuperare automaticamente la garanzia detenuta dal protocollo. Come ha spiegato il fondatore di Aave Chan Initiative Marc Zeller: "Gli USDT sono denaro reale garantito da dollari, e la posizione è criminale ma sovracollateralizzata agli occhi del protocollo."

Per prevenire ulteriori depositi e prestiti, Aave ha temporaneamente congelato i mercati dei suoi deployment V3 e V4, sebbene gli utenti esistenti potessero comunque prelevare fondi, rimborsare prestiti e liquidare posizioni. Il protocollo ha successivamente revocato il congelamento precauzionale sui mercati V3 e V4, dichiarando che i suoi contratti non erano stati interessati e che le posizioni rimanevano sovracollateralizzate. La posizione di prestito dell'attaccante rimaneva in essere, e la sorte della garanzia di provenienza criminale che detiene resta da definire.

"Solo un altro giorno nel mondo delle criptovalute", ha detto Zeller.

Cosa possono quindi tenere davvero gli attaccanti?

La società di analisi onchain Elliptic ha stimato che 2,84 miliardi di dollari fossero stati congelati entro le 7:00 UTC di venerdì, mentre gli attaccanti controllavano ancora circa 3,33 miliardi di dollari in asset che gli emittenti non potevano immobilizzare.

E sebbene i congelamenti abbiano quasi dimezzato il bacino di profitto degli attaccanti, questo non significa che tutti i fondi rimanenti possano essere recuperati in sicurezza. Bitcoin ed Ether non hanno un emittente di token centralizzato in grado di inserire singoli indirizzi in blacklist come fanno Tether o Circle. Una volta che gli asset rubati vengono convertiti in queste criptovalute native, le transazioni possono essere limitate, ma congelarle effettivamente è molto più difficile.

Binance si è impegnata a coprire tutte le perdite utilizzando il suo Secure Asset Fund for Users (SAFU) — la riserva di emergenza dell'exchange destinata a proteggere i fondi degli utenti in situazioni estreme — e i fondi aziendali, e dichiara che gli asset degli utenti rimangono al sicuro. Secondo l'ultimo aggiornamento dell'amministratore delegato di Binance Richard Teng, l'exchange sta già "recuperando gli asset rubati per gli utenti." Con le forze dell'ordine, gli emittenti di token e le società di analisi blockchain ancora impegnate nel tracciamento dei flussi, la sorte dei restanti circa 3,33 miliardi di dollari — e quanta parte di essi potrà ancora essere immobilizzata o recuperata — contribuirà a determinare il costo finale del più grande hack nella storia delle criptovalute.