De aanvallers achter de diefstal van $6,3 miljard bij Binance zijn begonnen hun buit te verdelen langs een duidelijke scheidingslijn: activa die bevroren of mogelijk teruggevorderd kunnen worden, en activa die buiten het bereik van bevriezingsmaatregelen liggen. Die scheidingslijn zal grotendeels bepalen hoeveel van de gestolen fondsen ooit kunnen worden teruggegeven.

Stablecoin-uitgevers trekken aan blacklist- en bevriezingshendels, terwijl de hackers racerend fondsen verplaatsen naar ETH, BTC en andere tokens zonder uitgevers of uitschakelaars. De haast om tokens af te sluiten voordat ze in onherstelbaar terrein belanden, volgt op wat wordt omschreven als de grootste diefstal uit de cryptogeschiedenis — een dief, ironisch genoeg, de grootste crypto-beurs ter wereld trof. Binance gaf in het eerste rapport over het incident de schuld van de aanval op een gecompromitteerde laptop van een DevOps-engineer.

Wat is er bevroren vanuit de Binance-hack?

De aanvallers, door blockchain-intelligencebedrijven TRM Labs en Chainalysis met hoge mate van zekerheid geïdentificeerd als de Noord-Koreaanse TraderTraitor-eenheid, zagen bijna $3 miljard van de tokens die ze van de beurs verplaatsten bevroren worden. De toerekening heeft praktische betekenis: aan Noord-Korea gelinkte eenheden van dit soort zijn eerder genoemd in Amerikaanse sanctiemaatregelen, die onderzoekers een juridische basis geven om inbeslagnames en verbeurdverklaringen na te streven naast on-chain bevriezingen.

Tether en Circle, de uitgevers van de grootste stablecoins gemeten naar marktkapitalisatie, hebben volgens TRM Labs ongeveer 1,77 miljard USDT en respectievelijk 825 miljoen USDC op de blacklist gezet. Blacklisting is een ingebouwde beheersmaatregel van gecentraliseerde stablecoins — tokens van een adres op de lijst kunnen niet langer worden verplaatst — een bevoegdheid die simpelweg niet bestaat voor activa zoals ETH of BTC. Van de gestolen 88,5 miljoen RLUSD heeft Ripple 40,5 miljoen bevroren, terwijl Trump-gelinkte World Liberty Financial 27,8 miljoen van zijn USD1-token heeft vergrendeld. De Security Council van Arbitrum greep ook in en hielp $30,5 miljoen stop te zetten.

Desondanks houden de aan Noord-Korea gelinkte aanvallers nog bijna $3 miljard vast die geen enkele entiteit kan aanraken, volgens tracking van Arkham en Lookonchain: ongeveer $1,09 miljard in ETH, $1,41 miljard in BTC en 682,9 miljoen TRX. De aanvaller haalde ook $158,25 miljoen op met de verkoop van altcoins waaronder AAVE, ENA, LINK, PEPE en UNI, en heeft dat geld sindsdien allemaal omgezet in Ethereum, een niet-bevriezbaar actief.

Wie kan ingrijpen en wie niet?

DEX-aggregator 1inch en het Reserve-protocol bieden een naast elkaar geplaatste vergelijking van de interventiebrug die de hackers proberen over te steken.

1inch zei dat adressen die met de aanval verband houden al geblokkeerd zijn van toegang tot zijn dApp, wallet en API. De DEX-aggregator zei ook contact te hebben opgenomen met Binance om hulp aan te bieden en af te stemmen met ZeroShadow, SEAL 911 en TRM Labs (verklaring op X).

Reserve kon daarentegen niets doen toen de aanvallers ongeveer 3,4 miljard van zijn RSR-token opsloegen. Het team schreef op X dat "niemand, inclusief wijzelf, de tokens kan bevriezen", omdat RSR onveranderlijk is en geen admin-keys heeft.

De Security Council van Arbitrum nam een hands-on aanpak. Volgens het Arbitrum-governanceforum wijzigde de raad tijdelijk het inbox-contract van het netwerk op Ethereum, voegde een functie toe om een cross-chain transactie te reproduceren terwijl zich voordeed als het exploit-adres, en verplaatste 8.425 ETH en 74.559.805 ARB naar een bewaarwallet eindigend op 0DA0. De raad herstelde vervolgens het contract, en de fondsen kunnen alleen bewegen na een stemming van ArbitrumDAO. De raad gebruikte dezelfde noodbevoegdheden in april, toen het ongeveer 30.766 ETH bevroor — destijds ter waarde van ruwweg $71 miljoen — verbonden aan de KelpDAO-exploit.

Wat de Bitget-hack al liet zien

Bevriezen is niet hetzelfde als terugvorderen, en de sector heeft vers bewijs van hoe weinig bevriezen kan vangen zodra een aanvaller converteert. Bij de Bitget-inbreuk in september rapporteerde Cryptopolitan dat Circle en Tether slechts $318.000 vergrendelden van de $387,5 miljoen gestolen geld, omdat de dief de rest al had omgewisseld in Ether. Bitquery-gegevens aangehaald door Cryptopolitan tonen aan dat wallets die binnen een week worden bevroren 59% van hun USDT na één week behouden, maar slechts 12% na zes maanden.

Binance heeft stortingen en opnames opgeschort, beloofd gebruikersverliezen te dekken uit het SAFU-reserve — het noodfonds van de beurs, opgericht in 2018 en opgebouwd uit handelskosten — en bedrijfsfondsen, en verwacht dat opnames binnen 48 uur hervatten. Co-CEO Richard Teng probeerde gebruikers gerust te stellen en schreef op X: "Your money is safe and we're covering every loss."

De beurs heeft niet gezegd hoeveel van de bevroren $3 miljard daadwerkelijk kan worden teruggevorderd, en heeft ook niet uiteengezet wat er zal gebeuren met de resterende $3,3 miljard. De volgende ijkpunten worden allemaal gesteld door het incident zelf: of opnames hervatten volgens het aangegeven 48-uursschema van Binance, hoe de ArbitrumDAO-stemming over de in beslag genomen 8.425 ETH en 74.559.805 ARB verloopt, of meer uitgevers en protocollen hun bevriezingsbevoegdheden gebruiken op tokens die nog in beweging zijn, en wanneer Binance de vooruitzichten voor terugvordering verduidelijkt van zowel de bevroren als de ontoegankelijke delen van de buit.

Bron: Cryptopolitan