Атакующие, стоящие за предполагаемым взломом Binance на 6,3 млрд долларов, по-прежнему контролируют миллиарды долларов в украденной криптовалюте, несмотря на быструю волну заморозок со стороны эмитентов токенов. Этот инцидент стал проверкой инструментов блокчейн-вмешательства в реальном времени — показав, как быстро централизованные эмитенты могут нажать на аварийный тормоз и где заканчивается их власть.

Атака, крупнейшая в истории криптовалют, началась в 20:04 UTC в четверг, и злоумышленники — которые, по данным следователей, связаны с северокорейскими хакерами, стоящими за взломом Bitget в прошлом месяце, — немедленно занялись конвертацией украденных активов.

Их план заключался в том, чтобы обменять активы, которые можно заморозить, например стейблкоины USDT и USDC, на те, что заморозить нельзя, — такие как биткойн (BTC) и эфир (ETH).

Инженер CertiK Диксон У отследил 500 млн долларов в USDT, отправленные на один адрес; 325 млн долларов были проданы маркет-мейкерам за ETH к 20:59 UTC — менее чем через час после начала атаки. Хакеры состязались с одними из самых влиятельных «привратников» криптоиндустрии: гигантами стейблкоинов вроде Tether и Circle, которые уже начали вносить в черные списки адреса, связанные с кражей.

Binance сообщила в пятницу, что около 3 млрд долларов из предполагаемых 6,3 млрд долларов украденных активов были заморожены на блокчейне и что она сотрудничает с правоохранительными органами, эмитентами токенов и компаниями блокчейн-аналитики для отслеживания остальных средств.

Масштаб кражи ошеломляет даже по меркам криптоиндустрии. Но если примерно половина активов уже заблокирована, сколько украденной криптовалюты злоумышленники реально могут потратить?

Криптовалюта с кнопкой выключения

В отличие от BTC или ETH — децентрализованных криптовалют без центрального эмитента и без кого-либо, кто мог бы нажать на паузу, — у централизованных стейблкоинов вроде USDT от Tether и USDC от Circle есть эмитенты, способные заморозить токены на конкретных адресах. Это дает им возможность быстро действовать в подобных инцидентах.

Tether заморозила в общей сложности около 1,567 млрд долларов в USDT, причем первая крупная заморозка произошла всего через 37 минут после того, как украденные средства достигли основного кошелька атакующих в Ethereum. Тремя минутами позже Circle заморозила около 823 млн долларов в USDC, а за ними вскоре последовали другие эмитенты, включая Ripple и World Liberty Financial.

Возможность блокировать криптовалюту — не исключительная прерогатива стейблкоинов. Хотя у децентрализованных протоколов нет центральных эмитентов, некоторые не остались в стороне: Совет по безопасности Arbitrum переместил около 30,5 млн долларов в ARB и ETH на промежуточный замороженный кошелек, откуда средства могут быть переведены только после дальнейших действий совета или голосования управления Arbitrum DAO. Вернет ли эти активы Binance в итоге Совет по безопасности или голосование DAO, пока неизвестно.

Важно одно различие: замороженные средства не обязательно равны возвращенным средствам. Блокировка активов не дает подозреваемым атакующим потратить их, но не возвращает деньги Binance или ее пользователям автоматически.

Осложнение с Aave

Децентрализованный кредитный протокол Aave добавляет еще один уровень сложности. С 20:58 до 21:01 UTC кошелек, связанный с атакующими, внес 60 млн долларов в USDT в Aave V3 в Ethereum и занял 44,6 млн долларов в wrapped Ether (WETH) — примерно за 40 минут до первой заморозки.

LlamaRisk, провайдер риск-аналитики для Aave, сообщил в своем обновлении в 1:00 ночи, что позиция атакующего впоследствии держала около 59,9 млн долларов обеспечения в USDT против долга в 43,8 млн долларов. Aave заявила, что позиция оставалась избыточно обеспеченной и не подвергала риску поставщиков ликвидности протокола.

Поскольку USDT уже был внесен в кредитный пул Aave, внесение кошелька атакующего в черный список не могло автоматически вернуть обеспечение, находящееся в протоколе. Как объяснил основатель Aave Chan Initiative Марк Зеллер: «USDT — это реальные деньги, обеспеченные долларами, и позиция является преступной, но избыточно обеспеченной с точки зрения протокола».

Чтобы предотвратить дальнейшие депозиты и займы, Aave временно заморозила рынки на развертываниях V3 и V4, хотя существующие пользователи по-прежнему могли выводить средства, погашать кредиты и ликвидировать позиции. Позднее протокол отменил предупредительную заморозку рынков V3 и V4, сообщив, что его контракты не пострадали, а позиции остались избыточно обеспеченными. Собственная заемная позиция атакующего осталась на месте, и судьба криминального обеспечения, которое она держит, пока не решена.

«Просто еще один день в крипте», — сказал Зеллер.

Что злоумышленники реально могут сохранить?

Компания блокчейн-аналитики Elliptic оценила, что к 7:00 UTC в пятницу было заморожено 2,84 млрд долларов, тогда как атакующие все еще контролировали около 3,33 млрд долларов в активах, которые эмитенты не могли заблокировать.

И хотя заморозки почти вдвое сократили прибыль атакующих, это не значит, что все оставшиеся средства можно безопасно вернуть. У биткойна и эфира нет централизованного эмитента токенов, который мог бы вносить отдельные адреса в черные списки, как Tether или Circle. После конвертации украденных активов в эти нативные криптовалюты транзакции можно ограничить, но фактически заморозить их гораздо сложнее.

Binance обязалась покрыть все убытки за счет своего фонда Secure Asset Fund for Users (SAFU) — чрезвычайного резерва биржи, созданного для защиты средств пользователей в экстремальных ситуациях — и собственных средств компании, заявив, что активы пользователей в безопасности. По последнему обновлению генерального директора Binance Ричарда Тэна, биржа уже «возвращает украденные активы пользователям». Пока правоохранительные органы, эмитенты токенов и компании блокчейн-аналитики продолжают отслеживать потоки, судьба оставшихся примерно 3,33 млрд долларов — и то, сколько из них еще можно заблокировать или вернуть, — во многом определит итоговую цену крупнейшего взлома в истории криптовалют.