Gli autori della violazione della sicurezza di Binance, descritta da BitcoinKE come il più grande exploit crittografico della storia, si sono rivolti al protocollo di lending della finanza decentralizzata (DeFi) Aave per convertire stablecoin rubate in Ethereum, cercando di spostare gli asset fuori dalla portata degli emittenti centralizzati in grado di congelarli.

I dati on-chain mostrano che un wallet collegato agli attaccanti ha depositato circa 60 milioni di dollari in USDT rubati come garanzia su Aave V3 su Ethereum e ha preso in prestito 19.762 wrapped Ether (WETH), del valore di circa 44,6 milioni di dollari all'epoca. La manovra offriva una via di fuga rispetto a uno degli strumenti più affidabili degli investigatori: i congelamenti delle stablecoin a livello di emittente.

Perché i ladri di stablecoin puntano su Ether

La strategia evidenzia una vulnerabilità chiave nelle indagini sui furti di criptovalute. Mentre stablecoin come USDT e USDC possono essere congelate dai loro emittenti quando risultano collegate a sospette attività criminali, Ethereum non ha un emittente centrale con la stessa capacità di mettere in blacklist singoli indirizzi e impedire i trasferimenti. L'emittente di USDT Tether e l'emittente di USDC Circle hanno entrambi in precedenza messo in blacklist indirizzi collegati ad attività illecite.

Prendendo denaro in prestito tramite Aave, gli attaccanti hanno di fatto utilizzato gli USDT rubati come garanzia per ottenere un asset alternativo senza dover vendere direttamente le stablecoin per ETH su un exchange centralizzato. Il wrapped Ether è una forma tokenizzata di Ether progettata per l'uso negli smart contract, e non ha alcuna società emittente in grado di mettere in blacklist indirizzi o congelare saldi. Il WETH preso in prestito poteva quindi essere spostato attraverso altri wallet e convertito in ETH, rendendo i proventi più difficili da immobilizzare tramite congelamenti a livello di emittente.

Una finestra di 40 minuti prima del congelamento

Il tempismo era cruciale. La transazione su Aave è avvenuta tra le 20:58 e le 21:01 UTC, circa 40 minuti prima del primo congelamento d'emergenza dei mercati di Aave. Questo ha dato agli attaccanti la possibilità di prendere denaro in prestito contro la garanzia prima che il protocollo limitasse le nuove attività di lending.

In una dichiarazione successiva, Aave ha confermato che la posizione deteneva circa 59,9 milioni di dollari in garanzia USDT contro 43,8 milioni di dollari di debito residuo. Il protocollo ha dichiarato che la posizione era sovra-collateralizzata — ossia la garanzia depositata superava il debito dovuto — restava soggetta alle normali procedure di liquidazione e non ha esposto i fornitori di Aave a perdite.

L'incidente ha spinto Aave a coordinare una risposta d'emergenza con i propri fornitori di servizi di rischio, congelando le riserve su più reti per impedire ulteriori depositi e prestiti. L'intervento ha coperto 175 riserve su Aave V3 in 16 reti e 117 riserve su Aave V4 in quattro reti.

Non uno sfruttamento dei contratti di Aave

È importante sottolineare che l'incidente non ha comportato lo sfruttamento degli smart contract di Aave. Gli attaccanti hanno invece utilizzato le legittime funzionalità di lending del protocollo come via di uscita, dimostrando come l'infrastruttura finanziaria decentralizzata possa diventare parte del processo di riciclaggio a seguito di grandi violazioni degli exchange.

L'episodio espone anche una sfida difficile per i protocolli DeFi: come fornire un accesso permissionless ai servizi finanziari rispondendo al contempo ad attività criminali che possono muoversi rapidamente attraverso infrastrutture di lending e trading altrimenti funzionanti.

Con i congelamenti d'emergenza in atto, le domande immediate riguardano come la posizione ancora aperta degli attaccanti verrà risolta attraverso le normali procedure di liquidazione di Aave, e se il WETH preso in prestito si sposterà ulteriormente attraverso altri wallet — sviluppi che mostreranno come i controlli a livello di emittente e l'infrastruttura di lending permissionless interagiscono quando i fondi rubati si spostano tra loro.

Fonte: BitcoinKE