L'attaccante dietro l'exploit dell'hot wallet di Binance ha trovato un modo per aggirare i congelamenti degli stablecoin: prendere a prestito contro i fondi rubati invece di venderli. L'indagine di TRM Labs ha risalito alla posizione su Aave di un wallet collegato all'attaccante che ha fornito 60 milioni di USDT come garanzia e se n'è andato con circa 19.762 ETH — 41 minuti prima che il mercato di lending fosse congelato.

Perché prendere a prestito invece di vendere

Gli stablecoin rubati comportano un rischio intrinseco per il ladro: i loro emittenti possono congelarli. Tether e Circle hanno poi congelato miliardi in questo incidente, che Binance ha confermato ammontare a circa 6,3 miliardi di dollari, con le perdite che saranno coperte dal fondo SAFU e dai fondi aziendali, secondo le sue conclusioni preliminari. Diversi investigatori blockchain, tra cui TRM Labs e Chainalysis, hanno attribuito il furto alla Corea del Nord, indicando TraderTraitor, il gruppo sostenuto dallo stato che l'FBI ha incolpato per l'hack da 1,5 miliardi di dollari di Bybit nel 2025.

L'ETH nativo non ha emittente né blacklist. Elliptic identifica la conversione dei fondi rubati in asset nativi come centrale nella risposta dell'attaccante ai congelamenti. Prendere a prestito contro USDT ha raggiunto questo obiettivo senza una vendita: gli stablecoin sono rimasti su Aave come garanzia, e l'attaccante se n'è andato con ETH, mentre l'indagine ha anche segnalato vendite separate di stablecoin ai market maker.

Il tempismo conta. Entrambe le transazioni di prestito sono atterrate alle 20:59 e 21:00 UTC, prima che il primo congelamento di Tether fosse riportato poco dopo le 21:00.

Due transazioni, 19.762 ETH

Etherscan etichetta l'indirizzo di prestito "Binance Hot Wallet Exploiter 3". In ciascuna transazione, il wrapped ether (WETH) — la versione token di ETH utilizzata dalle applicazioni di lending — ha lasciato la riserva di Aave, è stato sciolto ed è arrivato nel wallet come ETH nativo.

• 20:59:11 UTC, 29 ottobre: +3.271,4 ETH (Vedi transazione)
• 21:00:59 UTC, 29 ottobre: +16.491,0 ETH (Vedi transazione)

Totale: circa 19.762,4 ETH. Il primo congelamento del mercato di Aave è seguito alle 21:42, 41 minuti dopo.

Cosa il congelamento di Aave poteva e non poteva fare

Il fornitore di rischio LlamaRisk ha delineato la risposta di Aave in un aggiornamento sull'incidente alle 01:00 UTC del 30 ottobre:

• Nuovi depositi bloccati
• Nuovi prestiti bloccati
• Rimborsi, prelievi consentiti e liquidazioni ancora permessi
• L'ETH già preso in prestito resta al mutuatario

Un congelamento del mercato ferma il prossimo prestito, non l'ultimo. L'ETH preso in prestito dall'attaccante è rimasto sotto il controllo dell'attaccante, sebbene resti visibile onchain, e un eventuale successivo trasferimento a un exchange o un custode potrebbe dare agli investigatori un punto di intervento. La messa in blacklist dell'indirizzo del mutuatario presso l'emittente dello stablecoin è inoltre un passaggio separato dall'immobilizzazione degli USDT già presenti nel contratto di lending di Aave.

Il prestito lasciato dall'attaccante

Alle 01:00 UTC, LlamaRisk ha valutato la posizione come segue:

• Garanzia (USDT): 59,9 milioni di dollari
• Buffer: 16,1 milioni di dollari
• Loan-to-value: ~73%
• Debito (ETH): 43,8 milioni di dollari

LlamaRisk ha descritto la posizione come sovracollateralizzata e soggetta a liquidazione normale. Pertanto, prendere l'ETH non ha lasciato, in quello snapshot, ad Aave una perdita pari al prestito. Il debito e la garanzia devono essere letti insieme: un saldo di garanzia su un block explorer non è denaro spendibile, e un token di debito mostrato senza prezzo rimane comunque un debito.

La stessa logica si applica al conteggio del furto. I 60 milioni di USDT e l'ETH preso in prestito contro di essi formano un'unica posizione, quindi contarli entrambi come perdite separate di Binance conterebbe due volte la garanzia.

Cosa farebbe un prezzo più alto di ETH al prestito

La garanzia è agganciata al dollaro, ma il debito è denominato in ETH. Quando ETH sale, il debito cresce in termini di dollari mentre l'USDT resta fermo, e gli interessi maturati aggiungono al debito. Secondo il framework del health factor di Aave, una posizione può essere liquidata una volta che la sua garanzia, aggiustata per una soglia di liquidazione, non copre più il debito.

La cifra del debito di 43,8 milioni di dollari implica ETH a circa 2.216 dollari. Mantenendo fisso il debito di 19.762,4 ETH, il limite esterno della posizione si colloca vicino ai 3.031 dollari — ma quello è il tetto, non il fattore scatenante. Poiché Aave conteggia la garanzia a una soglia di liquidazione inferiore al 100%, la posizione diventerebbe liquidabile ben prima che ETH raggiunga quel livello. Il punto esatto dipende dai parametri del mercato, dai prezzi degli oracle e dagli interessi maturati in un dato blocco. In una liquidazione, il liquidatore ripaga parte del debito e riceve la garanzia più un premio.

Il costo per gli utenti ordinari di Aave

Il congelamento dei depositi per fermare l'attaccante ha anche tagliato la liquidità fresca per tutti gli altri, mentre i fornitori esistenti continuavano a prelevare. In una raccomandazione separata del 30 ottobre, LlamaRisk ha proposto riduzioni temporanee dei tassi di interesse, notando che l'utilizzazione era aumentata con il ritiro dei fondi da parte dei fornitori e che tassi più alti avrebbero stretto i mutuatari senza attirare nuovi depositi mentre le riserve erano congelate. Quali modifiche siano state attuate non è ancora stato confermato.

L'ETH è sparito da Aave. Cosa accadrà ai 60 milioni di USDT alla base — tramite rimborso, liquidazione o un'azione di recupero contro la garanzia — ora deciderà come il prestito dell'attaccante verrà infine saldato.

Questo articolo è fornito solo a scopo informativo e non costituisce consulenza finanziaria o di investimento. È apparso originariamente su Coindoo.