De aanvaller achter de hack van de hot wallet van Binance vond een manier om de stablecoin-bevriezingen te omzeilen: lenen tegen de gestolen fondsen in plaats van ze verkopen. Het onderzoek van TRM Labs herleidde de Aave-positie tot een met de aanvaller gelinkte wallet die 60 miljoen USDT als onderpand aanbracht en met ongeveer 19.762 ETH verdween — 41 minuten voordat de leenmarkt werd bevroren.

Waarom lenen in plaats van verkopen

Gestolen stablecoins brengen een ingebouwd risico met zich mee voor een dief: de uitgevers kunnen ze bevriezen. Tether en Circle bevroren in dit incident miljarden, een bedrag dat door Binance is bevestigd op ongeveer $6,3 miljard, waarvan de verliezen worden gedekt uit het SAFU-fonds en eigen middelen, volgens de eerste bevindingen van het bedrijf. Verschillende blockchain-onderzoekers, waaronder TRM Labs en Chainalysis, hebben de diefstal toegeschreven aan Noord-Korea, met verwijzing naar TraderTraitor, de door de staat gesteunde groep die de FBI verantwoordelijk hield voor de Bybit-hack van $1,5 miljard in 2025.

Native ETH heeft geen uitgever en geen blacklist. Elliptic wijst de omzetting van gestolen fondsen in native assets aan als het centrale onderdeel van de reactie van de aanvaller op de bevriezingen. Lenen tegen USDT bereikte dat zonder verkoop: de stablecoins bleven op Aave als onderpand staan en de aanvaller vertrok met ETH, terwijl het onderzoek ook afzonderlijke stablecoin-verkopen aan market makers meldde.

De timing is van belang. Beide leningtransacties werden uitgevoerd om 20:59 en 21:00 UTC, vóórdat de eerste Tether-bevriezing kort na 21:00 werd gemeld.

Twee transacties, 19.762 ETH

Etherscan labelt het leningadres als "Binance Hot Wallet Exploiter 3." In elke transactie verliet wrapped ether (WETH) — de tokenversie van ETH die leenapplicaties gebruiken — de reserve van Aave, werd het uitgepakt en arriveerde het als native ETH in de wallet.

• 20:59:11 UTC, 29 oktober: +3.271,4 ETH (Transactie bekijken)
• 21:00:59 UTC, 29 oktober: +16.491,0 ETH (Transactie bekijken)

Totaal: ongeveer 19.762,4 ETH. De eerste marktbevriezing door Aave volgde om 21:42, 41 minuten later.

Wat de bevriezing door Aave wel en niet kon

Risicoprovider LlamaRisk schetste de reactie van Aave in een incidentupdate om 01:00 UTC op 30 oktober:

• Nieuwe aanbetalingen geblokkeerd
• Nieuwe leningen geblokkeerd
• Terugbetalingen, toegestane opnames en liquidaties nog steeds toegestaan
• Reeds geleende ETH blijft bij de lener

Een marktbevriezing stopt de volgende lening, niet de laatste. De ETH die de aanvaller leende bleef onder controle van de aanvaller, al blijft deze zichtbaar onchain, en een latere overdracht naar een exchange of custodian zou onderzoekers een aangrijpingspunt kunnen geven. Het op de blacklist zetten van het adres van de lener bij de stablecoin-uitgever is bovendien een aparte stap van het immobiliseren van de USDT die al in het leencontract van Aave zit.

De lening die de aanvaller achterliet

Om 01:00 UTC zette LlamaRisk de positie als volgt op:

• Onderpand (USDT): $59,9 miljoen
• Buffer: $16,1 miljoen
• Loan-to-value: ~73%
• Schuld (ETH): $43,8 miljoen

LlamaRisk omschreef de positie als overgecollateraliseerd en onderworpen aan normale liquidatie. Het meenemen van de ETH betekende dus, op dat moment, niet dat Aave een verlies leed gelijk aan de lening. Schuld en onderpand moeten samen worden gelezen: een onderpandsaldo op een block explorer is geen besteedbaar geld, en een schuldtoken zonder prijs is nog steeds een schuld.

Dezelfde logica geldt voor de totaaltelling van de diefstal. De 60 miljoen USDT en de ETH die er tegenaan is geleend vormen één positie, dus beide als afzonderlijke Binance-verliezen tellen zou neerkomen op dubbel tellen van het onderpand.

Wat een hogere ETH-koers met de lening zou doen

Het onderpand is aan de dollar gekoppeld, maar de schuld luidt in ETH. Wanneer ETH stijgt, groeit de schuld in dollartermen terwijl de USDT gelijk blijft, en oplopende rente verhoogt de schuld eveneens. Onder het health-factor-framework van Aave kan een positie worden geliquideerd zodra het onderpand, gecorrigeerd met een liquidatiedrempel, de schuld niet meer dekt.

Het schuldbedrag van $43,8 miljoen impliceert een ETH-koers van ongeveer $2.216. Bij een vaste schuld van 19.762,4 ETH ligt de uiterste grens van de positie rond de $3.031 — maar dat is het plafond, niet de trigger. Omdat Aave het onderpand meetelt tegen een liquidatiedrempel onder de 100%, zou de positie al ver vóórdat ETH dat niveau bereikt liquidatiebaar worden. Het exacte moment hangt af van de parameters van de markt, oracleprijzen en opgelopen rente op een bepaald block. Bij een liquidatie betaalt een liquidator een deel van de schuld terug en ontvangt hij het onderpand plus een bonus.

De kosten voor gewone Aave-gebruikers

Het bevriezen van aanbetalingen om de aanvaller te stoppen sneed ook nieuwe liquiditeit af voor iedereen anders, terwijl bestaande aanbieders bleven opnemen. In een afzonderlijk advies van 30 oktober stelde LlamaRisk tijdelijke renteverlagingen voor, met de kanttekening dat het gebruik was gestegen doordat aanbieders fondsen opnamen en dat hogere rente leners zou treffen zonder nieuwe aanbetalingen aan te trekken zolang de reserves bevroren waren. Welke wijzigingen zijn doorgevoerd, is nog niet bevestigd.

De ETH is weg van Aave. Wat er gebeurt met de 60 miljoen USDT erachter — via terugbetaling, liquidatie of een herstelactie tegen het onderpand — bepaalt nu hoe de lening van de aanvaller uiteindelijk wordt afgewikkeld.

Dit artikel is uitsluitend bedoeld voor informatieve doeleinden en vormt geen financieel of beleggingsadvies. Het verscheen oorspronkelijk op Coindoo.