Napastnicy stojący za włamaniem na Binance, które BitcoinKE określiło jako największy exploit w historii kryptowalut, sięgnęli po zdecentralizowany protokół pożyczkowy DeFi Aave, aby zamienić skradzione stablecoiny na Ethereum, dążąc do wyprowadzenia aktywów spod zasięgu scentralizowanych emitentów zdolnych do ich zamrożenia.

Dane on-chain pokazują, że portfel powiązany z napastnikami zdeponował około 60 milionów dolarów skradzionego USDT jako zabezpieczenie na Aave V3 na Ethereum i pożyczył 19 762 wrapped Ether (WETH), warte wówczas około 44,6 miliona dolarów. Manewr ten oferował obejście jednego z najbardziej niezawodnych narzędzi śledczych: zamrożeń stablecoinów na poziomie emitenta.

Dlaczego złodzieje stablecoinów celują w Ether

Strategia ta uwypukla kluczową słabość śledztw dotyczących kradzieży kryptowalut. Podczas gdy stablecoiny takie jak USDT i USDC mogą być zamrożone przez swoich emitentów w przypadku powiązania z podejrzaną działalnością przestępczą, Ethereum nie ma scentralizowanego emitenta, który mógłby umieszczać pojedyncze adresy na czarnych listach i blokować transfery. Emitent USDT, Tether, oraz emitent USDC, Circle, oba wcześniej umieszczały na czarnych listach adresy powiązane z działalnością nielegalną.

Pożyczając przez Aave, napastnicy efektywnie wykorzystali skradziony USDT jako zabezpieczenie, aby uzyskać alternatywne aktywo bez konieczności sprzedawania stablecoinów bezpośrednio za ETH na scentralizowanej giełdzie. Wrapped Ether to stokenizowana forma Ethera zaprojektowana do użytku w smart kontraktach i nie ma spółki emitującej, która mogłaby umieszczać adresy na czarnych listach lub zamrażać salda. Pożyczone WETH mogły następnie zostać przeniesione przez inne portfele i wymienione na ETH, co utrudnia unieruchomienie środków poprzez zamrożenia na poziomie emitenta.

40-minutowe okno przed zamrożeniem

Timing miał kluczowe znaczenie. Transakcja na Aave odbyła się między 20:58 a 21:01 UTC, około 40 minut przed pierwszym awaryjnym zamrożeniem rynków Aave. Dało to napastnikom możliwość pożyczenia środków pod zabezpieczenie, zanim protokół ograniczył nową działalność pożyczkową.

W kolejnym oświadczeniu Aave potwierdziło, że pozycja obejmowała około 59,9 miliona dolarów zabezpieczenia w USDT przeciwko 43,8 miliona dolarów zaległego długu. Protokół oświadczył, że pozycja była nadmiernie zabezpieczona — co oznacza, że zdeponowane zabezpieczenie przewyższało zaległy dług — podlegała normalnym procedurom likwidacji i nie naraziła dostawców płynności Aave na straty.

Zdarzenie skłoniło Aave do skoordynowania reakcji awaryjnej z dostawcami usług zarządzania ryzykiem, zamrażając rezerwy w wielu sieciach, aby zapobiec dalszym depozytom i pożyczkom. Interwencja objęła 175 rezerw na Aave V3 w 16 sieciach i 117 rezerw na Aave V4 w czterech sieciach.

Nie był to exploit kontraktów Aave

Co istotne, zdarzenie nie obejmowało exploita smart kontraktów Aave. Zamiast tego napastnicy wykorzystali legalną funkcjonalność pożyczkową protokołu jako drogę wyjścia, demonstrując, jak zdecentralizowana infrastruktura finansowa może stać się częścią procesu prania pieniędzy po dużych włamaniach na giełdy.

To zdarzenie ujawnia również trudne wyzwanie dla protokołów DeFi: jak zapewniać dostęp do usług finansowych bez uprawnień, jednocześnie reagując na działalność przestępczą, która może szybko przemieszczać się przez funkcjonującą infrastrukturę pożyczkową i handlową.

Wobec obowiązujących awaryjnych zamrożeń natychmiastowymi pytaniami są: jak wciąż otwarta pozycja napastników zostanie rozliczona poprzez normalne procedury likwidacji Aave oraz czy pożyczone WETH będą przemieszczane dalej przez kolejne portfele — wydarzenia, które pokażą, jak kontrole na poziomie emitentów i bezpośrednia infrastruktura pożyczkowa wchodzą ze sobą w interakcje, gdy skradzione środki przepływają między nimi.

Źródło: BitcoinKE