Sprawca exploitu gorącego portfela Binance znalazł sposób obejścia zamrożeń stablecoinów: pożyczył środki na podstawie skradzionych funduszy zamiast je sprzedawać. Śledztwo TRM Labs prześledziło pozycję na Aave do portfela powiązanego z atakującym, który złożył 60 milionów USDT jako zabezpieczenie i wyniósł około 19 762 ETH — 41 minut przed zamrożeniem rynku pożyczkowego.

Dlaczego pożyczyć zamiast sprzedać

Skradzione stablecoiny niosą dla złodzieja wbudowane ryzyko: ich emitenci mogą je zamrozić. Tether i Circle zamroziły w tym incydencie miliardy, co Binance potwierdziło na około 6,3 miliarda dolarów, a straty mają zostać pokryte z funduszu SAFU oraz środków własnych firmy, zgodnie z wstępnymi ustaleniami. Kilku badaczy blockchain, w tym TRM Labs i Chainalysis, przypisało kradzież Korei Północnej, wskazując na TraderTraitor, wspieraną przez państwo grupę, którą FBI obwiniało o hak Bybit o wartości 1,5 miliarda dolarów w 2025 roku.

Natywne ETH nie ma emitenta ani czarnej listy. Elliptic wskazuje konwersję skradzionych środków na zasoby natywne jako kluczowy element reakcji atakującego na zamrożenia. Pożyczka na podstawie USDT osiągnęła to bez sprzedaży: stablecoiny pozostały na Aave jako zabezpieczenie, a atakujący wyszedł z ETH, przy czym śledztwo odnotowało również odrębne sprzedaże stablecoinów producentom rynku.

Timing ma znaczenie. Obie transakcje pożyczkowe zrealizowano o 20:59 i 21:00 UTC, zanim o 21:00 krótko po tej godzinie zgłoszono pierwsze zamrożenie Tethera.

Dwie transakcje, 19 762 ETH

Etherscan oznacza adres pożyczkowy jako „Binance Hot Wallet Exploiter 3”. W każdej transakcji wrapped ether (WETH) — tokenowa wersja ETH używana przez aplikacje pożyczkowe — opuszczał rezerwy Aave, był odwracany i trafiał do portfela jako natywne ETH.

• 20:59:11 UTC, 29 października: +3 271,4 ETH (Zobacz transakcję)
• 21:00:59 UTC, 29 października: +16 491,0 ETH (Zobacz transakcję)

Łącznie: około 19 762,4 ETH. Pierwsze zamrożenie rynku na Aave nastąpiło o 21:42, 41 minut później.

Co zamrożenie Aave mogło, a czego nie mogło zrobić

Dostawca oceny ryzyka LlamaRisk opisał reakcję Aave w aktualizacji dotyczącej incydentu o 01:00 UTC 30 października:

• Nowe depozyty zablokowane
• Nowe pożyczki zablokowane
• Spłaty, dozwolone wypłaty i likwidacje nadal możliwe
• Już pożyczone ETH pozostaje u pożyczkobiorcy

Zamrożenie rynku zatrzymuje następną pożyczkę, nie ostatnią. ETH pożyczone przez atakującego pozostało pod jego kontrolą, choć pozostaje widoczne on-chain, a każda późniejsza transferacja na giełdę lub do depozytariusza może dać śledczym punkt zaczepienia. Zablokowanie adresu pożyczkobiorcy u emitenta stablecoina to także odrębny krok od unieruchomienia USDT już znajdującego się w kontrakcie pożyczkowym Aave.

Pożyczka pozostawiona przez atakującego

O 01:00 UTC LlamaRisk wycenił pozycję następująco:

• Zabezpieczenie (USDT): 59,9 mln USD
• Bufor: 16,1 mln USD
• Loan-to-value: ~73%
• Zadłużenie (ETH): 43,8 mln USD

LlamaRisk opisał pozycję jako nadmiarowo zabezpieczoną i podlegającą normalnej likwidacji. Przejęcie ETH nie oznaczało zatem, według tego wycinku stanu, że Aave poniósł stratę równą pożyczce. Zadłużenie i zabezpieczenie należy czytać łącznie: saldo zabezpieczenia w eksploratorze bloków nie jest gotówką do wydania, a token długu pokazany bez ceny wciąż jest długiem.

Ta sama logika dotyczy bilansu kradzieży. 60 milionów USDT i ETH pożyczone na ich podstawie tworzą jedną pozycję, więc liczenie obu jako odrębnych strat Binance podwajałoby zabezpieczenie.

Co wyższa cena ETH zrobiłaby z pożyczką

Zabezpieczenie jest powiązane z dolarem, ale dług jest denominowany w ETH. Gdy ETH rośnie, dług rośnie w ujęciu dolarowym, podczas gdy USDT pozostaje bez zmian, a narastające odsetki również zwiększają dług. Zgodnie z ramówką współczynnika zdrowia Aave pozycja może zostać zlikwidowana, gdy jej zabezpieczenie, skorygowane o próg likwidacji, przestaje pokrywać dług.

Kwota zadłużenia 43,8 miliona dolarów oznacza ETH po około 2 216 dolarów. Przy stałym zadłużeniu 19 762,4 ETH zewnętrzna granica pozycji znajduje się w pobliżu 3 031 dolarów — ale to sufit, nie wyzwalacz. Ponieważ Aave liczy zabezpieczenie z progiem likwidacji poniżej 100%, pozycja stałaby się likwidowalna na długo zanim ETH osiągnęłoby ten poziom. Dokładny punkt zależy od parametrów rynku, cen wyroczni i narastających odsetek w danym bloku. W likwidacji likwidator spłaca część długu i otrzymuje zabezpieczenie plus premię.

Koszt dla zwykłych użytkowników Aave

Zamrożenie depozytów, aby zatrzymać atakującego, odcięło także świeżą płynność dla wszystkich pozostałych, podczas gdy dotychczasowi depozytodarze wciąż wypłacali środki. W osobnej rekomendacji z 30 października LlamaRisk zaproponował tymczasowe obniżki stóp procentowych, wskazując, że wskaźnik wykorzystania wzrósł, gdy depozytarze wycofywali środki, a wyższe stopy ściskałyby pożyczkobiorców, nie przyciągając nowych depozytów, gdy rezerwy były zamrożone. Które zmiany zostały wprowadzone, nie zostało jeszcze potwierdzone.

ETH jest już poza Aave. O tym, co stanie się z 60 milionami USDT stojącymi za nim — poprzez spłatę, likwidację lub działanie odzyskowe wobec zabezpieczenia — zdecyduje ostateczne rozliczenie pożyczki atakującego.

Niniejszy artykuł ma wyłącznie charakter informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Oryginalnie ukazał się na Coindoo.