Napastnicy stojący za szacowanym na 6,3 mld USD hackiem na Binance nadal kontrolują miliardy dolarów w skradzionych kryptowalutach, mimo szybkiej fali prób zamrażania podejmowanych przez emitentów tokenów. To zdarzenie stało się testem narzędzi interwencji onchain w krypto — pokazując zarówno, jak szybko scentralizowani emitenci potrafią pociągnąć za hamulec awaryjny, jak i gdzie kończy się ich władza.

Atak — największy w historii kryptowalut — rozpoczął się w czwartek o 20:04 UTC, a sprawcy, których śledczy powiązali z północnokoreańskimi hackerami stojącymi za zeszłomiesięcznym hackiem na Bitget, natychmiast przystąpili do wymiany skradzionych aktywów.

Ich plan polegał na zamianie aktywów, które można zamrozić, takich jak stablecoiny USDT i USDC, na takie, których zamrozić się nie da — jak Bitcoin (BTC) i Ether (ETH).

Inżynier CertiK, Dickson Wu prześledził 500 mln USD w USDT, które trafiły na jeden adres, przy czym 325 mln USD sprzedano animatorom rynku za ETH do 20:59 UTC — niecałą godzinę po rozpoczęciu ataku. Hackerzy ścigali się z niektórymi z najpotężniejszych strażników w krypto: gigantami stablecoinów, takimi jak Tether i Circle, które już rozpoczęły czarną listę adresów powiązanych z kradzieżą.

Binance poinformowało w piątek, że około 3 mld USD ze skradzionych aktywów zostało zamrożonych onchain z szacunkowej łącznej kwoty 6,3 mld USD oraz że współpracuje z organami ścigania, emitentami tokenów i firmami zajmującymi się analizą blockchain, aby śledzić kolejne środki.

Skala kradzieży jest oszałamiająca nawet jak na standardy krypto. Ale skoro mniej więcej połowa aktywów została już unieruchomiona, ile ze skradzionych kryptowalut mogą faktycznie wydać sprawcy?

Krypto z wyłącznikiem

W przeciwieństwie do BTC czy ETH — zdecentralizowanych kryptowalut bez centralnego emitenta i bez nikogo, kto mógłby nacisnąć pauzę — scentralizowane stablecoiny, takie jak USDT od Tether i USDC od Circle, mają emitentów zdolnych zamrozić tokeny trzymane na konkretnych adresach. Daje im to możliwość szybkiego działania w sytuacjach takich jak ta.

Tether zamroził łącznie około 1,567 mld USD w USDT, przy czym pierwsze większe zamrożenie nastąpiło zaledwie 37 minut po tym, jak skradzione środki trafiły do głównego portfela Ethereum napastnika. Circle zamroził około 823 mln USD w USDC trzy minuty później, a inni emitenci, w tym Ripple i World Liberty Financial, poszli wkrótce w ich ślady.

Możliwość unieruchomienia kryptowalut nie jest zarezerwowana wyłącznie dla stablecoinów. Choć protokoły zdecentralizowane nie mają centralnych emitentów, niektóre nie pozostały bierne: Rada Bezpieczeństwa Arbitrum przeniosła około 30,5 mln USD w ARB i ETH do pośredniego zamrożonego portfela, z którego środki można przemieścić dopiero po dalszym działaniu rady lub głosowaniu zarządu Arbitrum DAO. Czy Rada Bezpieczeństwa lub głosowanie DAO ostatecznie zwróci te aktywa Binance, pozostaje niewiadomą.

Pozostaje jedna istotna różnica: zamrożone środki niekoniecznie oznaczają odzyskane środki. Unieruchomienie aktywów uniemożliwia podejrzanym napastnikom ich wydawanie, ale nie zwraca automatycznie pieniędzy Binance ani jego użytkownikom.

Komplikacja w postaci Aave

Zdecentralizowany protokół pożyczkowy Aave dodaje kolejną warstwę złożoności. Między 20:58 a 21:01 UTC portfel powiązany z napastnikami wpłacił 60 mln USD w USDT do Aave V3 na Ethereum i pożyczył 44,6 mln USD wrapped Ethera (WETH) — około 40 minut przed pierwszym zamrożeniem.

LlamaRisk, dostawca usług zarządzania ryzykiem dla Aave, stwierdził w swojej aktualizacji z 1:00 w nocy, że pozycja napastnika posiadała następnie około 59,9 mln USD zabezpieczenia w USDT wobec 43,8 mln USD długu. Aave poinformowało, że pozycja pozostała nadmiernie zabezpieczona i nie narażała dostawców płynności protokołu.

Ponieważ USDT zostały już wpłacone do puli pożyczkowej Aave, umieszczenie portfela napastnika na czarnej liście nie mogło automatycznie odzyskać zabezpieczenia trzymanego przez protokół. Jak wyjaśnił założyciel Aave Chan Initiative, Marc Zeller: „USDT to prawdziwe pieniądze pokryte dolarami, a pozycja jest kryminalna, ale w oczach protokołu nadmiernie zabezpieczona".

Aby zapobiec dalszym wpłatom i pożyczkom, Aave tymczasowo zamroziło rynki we wszystkich swoich wdrożeniach V3 i V4, choć istniejący użytkownicy mogli nadal wypłacać środki, spłacać pożyczki i likwidować pozycje. Protokół później zniósł prewencyjne zamrożenie rynków V3 i V4, oświadczając, że jego kontrakty nie zostały naruszone, a pozycje pozostały nadmiernie zabezpieczone. Pozycja pożyczkowa samego napastnika pozostała na miejscu, a los pochodzącego z przestępstwa zabezpieczenia, które ona posiada, wciąż nie został rozstrzygnięty.

„Po prostu kolejny dzień w krypto", powiedział Zeller.

Co napastnicy mogą faktycznie zatrzymać?

Firma analityki onchain, Elliptic oszacowała, że do 7:00 UTC w piątek zamrożono 2,84 mld USD, podczas gdy napastnicy nadal kontrolowali około 3,33 mld USD w aktywach, których emitenci nie mogli unieruchomić.

I choć zamrożenia niemal o połowę zmniejszyły pulę zysków napastników, nie oznacza to, że wszystkie pozostałe środki można bezpiecznie odzyskać. Bitcoin i Ether nie mają scentralizowanego emitenta tokenów, który mógłby umieszczać pojedyncze adresy na czarnej liście w taki sposób, jak Tether czy Circle. Gdy skradzione aktywa zostaną wymienione na te natywne kryptowaluty, transakcje można ograniczać, ale faktyczne ich zamrożenie jest znacznie trudniejsze.

Binance zobowiązało się pokryć wszystkie straty za pomocą swojego funduszu Secure Asset Fund for Users (SAFU) — awaryjnej rezerwy giełdy utworzonej w celu ochrony środków użytkowników w skrajnych sytuacjach — oraz środków własnych, i zapewnia, że aktywa użytkowników pozostają bezpieczne. Zgodnie z najnowszą aktualizacją dyrektora generalnego Binance, Richarda Tenga, giełda już „odzyskuje skradzione aktywa dla użytkowników". Organy ścigania, emitenci tokenów i firmy analityczne wciąż śledzą przepływy, a los pozostałych około 3,33 mld USD — oraz to, ile z nich można jeszcze unieruchomić lub odzyskać — pomoże określić ostateczny koszt największego hacku w historii kryptowalut.