De aanvallers achter de beveiligingsinbreuk bij Binance, die BitcoinKE heeft omschreven als de grootste crypto-exploit uit de geschiedenis, gebruikten het DeFi-leenprotocol (gedecentraliseerde financiering) Aave om gestolen stablecoins om te zetten in Ethereum, in een poging de assets buiten het bereik te brengen van gecentraliseerde uitgevers die ze kunnen bevriezen.

On-chain gegevens tonen aan dat een wallet die aan de aanvallers is gelinkt, ongeveer $60 miljoen aan gestolen USDT als onderpand heeft gestort op Aave V3 op Ethereum en 19.762 wrapped Ether (WETH) heeft geleend, ter waarde van circa $44,6 miljoen op dat moment. De manoeuvre bood een route rond een van de meest betrouwbare instrumenten van onderzoekers: stablecoinfreezes op uitgeversniveau.

Waarom dieven van stablecoins Ether als doelwit kiezen

De strategie benadrukt een belangrijke kwetsbaarheid in onderzoeken naar cryptodiefstal. Hoewel stablecoins zoals USDT en USDC door hun uitgevers kunnen worden bevroren wanneer ze in verband worden gebracht met vermoedelijke criminele activiteit, heeft Ethereum geen centrale uitgever met dezelfde mogelijkheid om individuele adressen op een blacklists te plaatsen en overboekingen te voorkomen. USDT-uitgever Tether en USDC-uitgever Circle hebben beide eerder adressen die gelinkt waren aan illegale activiteit op een blacklists geplaatst.

Door via Aave te lenen, gebruikten de aanvallende partijen de gestolen USDT in feite als onderpand om een alternatief asset te verkrijgen zonder de stablecoins rechtstreeks te hoeven verkopen voor ETH op een gecentraliseerde exchange. Wrapped Ether is een getokeniseerde vorm van Ether die is ontworpen voor gebruik in smart contracts, en er is geen uitgevend bedrijf dat adressen op een blacklists kan plaatsen of saldi kan bevriezen. De geleende WETH kon vervolgens via andere wallets worden verplaatst en worden omgezet in ETH, waardoor de opbrengsten moeilijker te immobiliseren zijn via freezes op uitgeversniveau.

Een venster van 40 minuten vóór de freeze

Timing was cruciaal. De Aave-transactie vond plaats tussen 20:58 en 21:01 UTC, ongeveer 40 minuten vóór de eerste noodfreeze van de Aave-markten. Dit gaf de aanvallers de gelegenheid om tegen het onderpand te lenen voordat het protocol nieuwe leenactiviteit beperkte.

In een daaropvolgende verklaring bevestigde Aave dat de positie ongeveer $59,9 miljoen aan USDT-onderpand bevatte tegenover $43,8 miljoen aan openstaande schuld. Het protocol verklaarde dat de positie over_collateraliseerd was — wat betekent dat het gestorte onderpand de verschuldigde schuld oversteeg — onderworpen bleef aan normale liquidatieprocedures en geen verliezen opleverde voor leveranciers aan Aave.

Het incident bracht Aave ertoe een noodrespons te coördineren met zijn risicoserviceproviders, waarbij reserves op meerdere netwerken werden bevroren om verdere stortingen en leningen te voorkomen. De interventie omvatte 175 reserves op Aave V3 verspreid over 16 netwerken en 117 reserves op Aave V4 verspreid over vier netwerken.

Geen exploit van de contracten van Aave

Belangrijk is dat het incident geen exploit van de smart contracts van Aave betrof. In plaats daarvan gebruikten de aanvallers de legitieme leenfunctionaliteit van het protocol als exitroute, wat aantoont hoe gedecentraliseerde financiële infrastructuur deel kan uitmaken van het wasproces na grote exchange-inbreuken.

De affaire legt ook een moeilijke uitdaging bloot voor DeFi-protocollen: hoe toestemmingloze toegang tot financiële diensten te bieden en tegelijkertijd te reageren op criminele activiteit die zich snel kan verplaatsen via anders goed functionerende lenings- en handelsinfrastructuur.

Met de noodfreezes van kracht zijn de directe vragen hoe de nog openstaande positie van de aanvallers wordt afgewikkeld via de normale liquidatieprocedures van Aave, en of de geleende WETH verder wordt verplaatst via extra wallets — ontwikkelingen die zullen laten zien hoe controles op uitgeversniveau en toestemmingloze leningsinfrastructuur op elkaar inwerken zodra gestolen middelen zich ertussen verplaatsen.

Bron: BitcoinKE