De aanvallers achter de naar schatting $6,3 miljard tellende hack van Binance hebben nog steeds miljarden dollars aan gestolen cryptocurrency in handen, ondaken een snelle golf van bevriezingspogingen door tokenuitgevers. Het voorval is een levende test geworden van de onchain-interventie-instrumenten van crypto — die laat zien hoe snel gecentraliseerde uitgevers de noodrem kunnen trekken en waar die macht eindigt.

De aanval, de grootste in de cryptogeschiedenis, begon donderdag om 20:04 UTC, en de daders — door onderzoekers in verband gebracht met de Noord-Koreaanse hackers achter de Bitget-hack van vorige maand — gingen er onmiddellijk toe over om de gestolen activa om te zetten.

Hun plan was om activa die bevroren konden worden, zoals de stablecoins USDT en USDC, om te wisselen in activa die dat niet konden, zoals Bitcoin (BTC) en Ether (ETH).

CertiK-engineer Dickson Wu tracerde $500 miljoen aan USDT dat naar één adres was gestuurd, waarvan $325 miljoen tegen 20:59 UTC aan market makers was verkocht voor ETH — minder dan een uur na het begin van de hack. De hackers raceten tegen enkele van de machtigste poortwachters van crypto: stablecoingiganten als Tether en Circle, die al waren begonnen met het op de zwarte lijst zetten van adressen die met de diefstal verband hielden.

Binance meldde vrijdag dat ongeveer $3 miljard van de gestolen activa onchain was bevroren, van een geschat totaal van $6,3 miljard, en dat het samenwerkt met wetshandhavingsinstanties, tokenuitgevers en blockchain-analysebedrijven om aanvullende fondsen op te sporen.

De omvang van de diefstal is zelfs naar cryptomaatstaven duizelingwekkend. Maar met ongeveer de helft van de activa al geïmmobiliseerd: hoeveel van de gestolen crypto kunnen de daders daadwerkelijk uitgeven?

Crypto met een uit-schakelaar

In tegenstelling tot BTC of ETH — gedecentraliseerde cryptocurrencies zonder centrale uitgever en zonder iemand die op de pauzeknop kan drukken — hebben gecentraliseerde stablecoins zoals Tether's USDT en Circle's USDC uitgevers die tokens op specifieke adressen kunnen bevriezen. Dat geeft hen de macht om snel te handelen bij dit soort incidenten.

Tether bevroor in totaal ongeveer $1,567 miljard aan USDT, waarbij de eerste grote bevriezing slechts 37 minuten nadat de gestolen fondsen de belangrijkste Ethereum-wallet van de aanvaller hadden bereikt plaatsvond. Circle bevroor drie minuten later ongeveer $823 miljoen aan USDC, en andere uitgevers, waaronder Ripple en World Liberty Financial, volgden kort daarna.

De mogelijkheid om crypto te immobiliseren is niet uitsluitend een stablecoin-functie. Hoewel gedecentraliseerde protocollen geen centrale uitgevers hebben, bleven sommige niet passief toekijken: Arbitrums Security Council verplaatste ongeveer $30,5 miljoen aan ARB en ETH naar een tussenliggende bevroren wallet, waar de fondsen slechts verplaatst kunnen worden na verdere actie van de raad of een stemming door Arbitrum DAO-governance. Of de Security Council of een DAO-stemming die activa uiteindelijk teruggeeft aan Binance, moet nog blijken.

Eén belangrijk onderscheid blijft bestaan: bevroren fondsen komen niet noodzakelijk overeen met teruggevonden fondsen. Het immobiliseren van activa verhindert dat de vermoedelijke aanvallers ze uitgeven, maar het geld komt niet automatisch terug bij Binance of zijn gebruikers.

De Aave-complicatie

Het gedecentraliseerde leenprotocol Aave voegt nog een laag complexiteit toe. Tussen 20:58 en 21:01 UTC stortte een wallet die met de aanvallers werd geassocieerd $60 miljoen aan USDT in Aave V3 op Ethereum en leende $44,6 miljoen aan wrapped Ether (WETH), ongeveer 40 minuten vóór de eerste bevriezing.

LlamaRisk, een risicodienstverlener van Aave, zei in zijn update van 01:00 uur dat de positie van de aanvaller vervolgens ongeveer $59,9 miljoen aan USDT-onderpand tegen $43,8 miljoen aan schulden bevatte. Aave zei dat de positie overcollateralized bleef en geen risico vormde voor leveranciers aan het protocol.

Omdat de USDT al in de leenpool van Aave was gestort, kon het op de zwarte lijst zetten van de wallet van de aanvaller het door het protocol aangehouden onderpand niet automatisch terugvorderen. Zoals Aave Chan Initiative-oprichter Marc Zeller uitlegde: "USDT is echt geld gedekt door dollars, en de positie is crimineel maar overcollateralized in de ogen van het protocol."

Om verdere stortingen en leningen te voorkomen, bevroor Aave tijdelijk de markten in zijn V3- en V4-implementaties, hoewel bestaande gebruikers nog steeds fondsen konden opnemen, leningen konden aflossen en posities konden liquideren. Het protocol tilde later zijn voorzorgsbevriezing over de V3- en V4-markten op, met de mededeling dat zijn contracten niet waren aangetast en posities overcollateralized bleven. De leenpositie van de aanvaller zelf bleef bestaan, en wat er gebeurt met het criminele onderpand dat deze aanhoudt, moet nog worden opgelost.

"Gewoon weer een dag in crypto," zei Zeller.

Wat kunnen de aanvallers eigenlijk houden?

On-chain analysebedrijf Elliptic schatte dat $2,84 miljard tegen vrijdagochtend 07:00 UTC was bevroren, terwijl de aanvallers nog ongeveer $3,33 miljard aan activa controleerden die uitgevers niet konden immobiliseren.

En hoewel de bevriezingen de winstpool van de aanvallers bijna halveerden, betekent dat niet dat alle resterende fondsen veilig terug te vorderen zijn. Bitcoin en Ether hebben geen gecentraliseerde tokenuitgever die individuele adressen op de zwarte lijst kan zetten zoals Tether of Circle dat kunnen. Zodra gestolen activa in deze native cryptocurrencies worden omgezet, kunnen transacties worden beperkt, maar ze daadwerkelijk bevriezen is veel moeilijker.

Binance heeft beloofd alle verliezen te dekken met zijn Secure Asset Fund for Users (SAFU) — de noodreserve van de beurs die is opgericht om gebruikersfondsen in extreme situaties te beschermen — en bedrijfsfondsen, en zegt dat de activa van gebruikers veilig blijven. Volgens de laatste update van Binance-ceo Richard Teng is de beurs al "gestolen activa voor gebruikers aan het terugvorderen." Terwijl wetshandhavingsinstanties, tokenuitgevers en blockchain-analysebedrijven de geldstromen blijven traceren, zal het lot van de resterende ongeveer $3,33 miljard — en hoeveel daarvan nog geïmmobiliseerd of teruggevorderd kan worden — helpen bepalen wat de grootste hack uit de cryptogeschiedenis uiteindelijk kost.