Binanceの推定63億ドル規模のハッキング事件の背後にいる攻撃者は、トークン発行者による迅速な凍結の取り組みにもかかわらず、盗まれた暗号資産のうち数十億ドルを依然として支配している。この一件は、暗号資産のオンチェーン介入ツールの実地テストとなっており、中央集権的な発行者がどれほど素早く緊急ブレーキを引けるか、そしてその権限の限界がどこにあるかを両方示している。

暗号資産史上最大となるこの攻撃は、木曜日のUTC午後8時4分に始まり、実行犯——調査機関により先月のBitgetハッキングの背後にいた北朝鮮系ハッカーと関連付けられている——は直ちに盗まれた資産の換算に取りかかった。

彼らの作戦は、USDTやUSDCといった凍結可能なステーブルコインを、ビットコイン(BTC)やイーサリアム(ETH)といった凍結不可能な資産に交換することだった。

CertiKのエンジニア、Dickson Wuは、単一のアドレスに送金された5億ドルのUSDTを追跡した。そのうち3億2500万ドルは、ハッキング開始から1時間も経たないUTC午後8時59分までにマーケットメーカーへETHとして売却されていた。ハッカーたちは、TetherやCircleといったステーブルコインの巨大企業という、暗号資産業界で最も強力な門番たちと競争していた。彼らはすでに窃盗に関連するアドレスのブラックリスト登録を開始していた。

Binanceは金曜日、推定総額63億ドルのうち約30億ドルの盗難資産がオンチェーンで凍結されたと発表し、法執行機関、トークン発行者、ブロックチェーン分析企業と協力して追加の資金を追跡していると述べた。

窃盗の規模は暗号資産業界の基準でも驚異的だ。しかし、資産の約半分がすでに動不能にされている中、実行犯が実際に使える盗まれた暗号資産はどのくらいなのか。

オフスイッチ付きの暗号資産

中央発行者が存在せず、誰も一時停止ボタンを押せない分散型暗号資産であるBTCやETHとは異なり、TetherのUSDTやCircleのUSDCのような中央集権型ステーブルコインには、特定のアドレスが保有するトークンを凍結できる発行者が存在する。これにより、今回のような事件で素早く対応する力を持っている。

Tetherは合計で約15億6700万ドルのUSDTを凍結し、最初の大規模な凍結は、盗まれた資金が攻撃者の主要なイーサリアムウォレットに到達してからわずか37分後に行われた。Circleはその3分後に約8億2300万ドルのUSDCを凍結し、RippleやWorld Liberty Financialを含む他の発行者もすぐに続いた。

暗号資産を動不能にする機能はステーブルコインに限定されたものではない。分散型プロトコルには中央発行者がいないものの、傍観していたわけではない例もある。Arbitrumのセキュリティカウンシルは、約3050万ドル相当のARBとETHを中間の凍結ウォレットへ移動させた。そこでは、カウンシルによる追加の対応またはArbitrum DAOガバナンスの投票がなければ資金を動かせない。セキュリティカウンシルの対応かDAOの投票のいずれが最終的にこれらの資産をBinanceに返すことになるかは、まだわからない。

重要な区別が1つ残る。凍結された資金は、必ずしも回収された資金と同一ではない。資産を動不能にすることで、容疑者らによる支出は防げるが、それが自動的にBinanceやそのユーザーへ資金を返すわけではない。

Aaveがもたらす複雑さ

分散型レンディング(貸出)プロトコルのAaveは、この方程式にさらに複雑さを加えている。UTC午後8時58分から9時1分の間に、攻撃者に関連するウォレットが、イーサリアム上のAave V3に6000万ドルのUSDTを預け入れ、最初の凍結の約40分前に4460万ドル相当のラップドイーサ(WETH)を借り入れた。

Aaveのリスクサービス提供企業であるLlamaRiskは、午前1時のアップデートで、攻撃者のポジションはその後、約5990万ドルのUSDT担保に対して4380万ドルの負債を抱えていると述べた。Aaveは、このポジションは過剰担保の状態が維持されており、プロトコルの預け入れ者をリスクに晒していないと述べた。

USDTがすでにAaveのレンディングプールに預け入れられていたため、攻撃者のウォレットをブラックリストに登録しても、プロトコルが保有する担保を自動的に回収することはできなかった。Aave Chan Initiativeの創設者Marc Zellerは次のように説明している：「USDTはドルに裏付けられた実際の資金であり、このポジションは犯罪的だが、プロトコルの観点では過剰担保されている。」

追加の預け入れや借り入れを防ぐため、AaveはV3およびV4の展開全体で市場を一時的に凍結したが、既存のユーザーは引き続き資金の引き出し、ローンの返済、ポジションの清算が可能だった。その後、プロトコルはV3およびV4市場全体の予防的凍結を解除し、契約は影響を受けておらず、ポジションは過剰担保のままだと述べた。攻撃者自身の借り入れポジションは残ったままであり、そこで保持されている犯罪由来の担保がどうなるかは、まだ決着していない。

「暗号資産業界では、よくある日常のひとつだ」とZellerは述べた。

攻撃者が実際に保持できるものは何か

オンチェーン分析企業のEllipticは、金曜日のUTC午前7時までに28億4000万ドルが凍結されたと推定し、攻撃者は発行者が動不能にできない約33億3000万ドルの資産を依然として支配していると見積もった。

凍結により攻撃者の利益の源泉はほぼ半減したが、残りの資金すべてが安全に回収できるとは限らない。ビットコインとイーサリアムには、TetherやCircleのように個別のアドレスをブラックリストに登録できる中央集権的なトークン発行者が存在しない。盗まれた資産がこれらのネイティブ暗号資産に換算されると、取引を制限することはできるが、実際に凍結することははるかに困難だ。

Binanceは、ユーザー保護基金(SAFU)——極端な状況でユーザーの資金を守るために設けられた取引所の緊急準備金——および自己資金ですべての損失を補填すると誓っており、ユーザーの資産は安全だとしている。Binanceの最高経営責任者(CEO)、Richard Tengによる最新のアップデートによると、取引所はすでに「ユーザーのために盗まれた資産の回収を進めている」。法執行機関、トークン発行者、ブロックチェーン分析企業が引き続き資金の流れを追跡する中、残る約33億3000万ドルの行方——そしてそのうちどれだけが依然として動不能化または回収可能か——が、暗号資産史上最大のハッキング事件の最終的な損失額を左右することになる。