Атакующий, совершивший взлом горячего кошелька Binance, нашел способ обойти заморозку стейблкоинов: он занял средства под залог украденных активов вместо их продажи. Расследование TRM Labs установило, что позицию на Aave открыл связанный с атакующим кошелек, который предоставил 60 млн USDT в качестве залога и вывел около 19 762 ETH — за 41 минут до заморозки кредитного рынка.

Почему занять, а не продать

У украденных стейблкоинов есть встроенный риск для вора: их эмитенты могут заморозить их. Tether и Circle в итоге заморозили миллиарды в рамках этого инцидента, масштаб которого Binance подтвердил на уровне около $6,3 млрд, при этом убытки будут покрыты из фонда SAFU и собственных средств компании, согласно ее первоначальным выводам. Несколько блокчейн-расследователей, включая TRM Labs и Chainalysis, связали кражу с Северной Кореей, указывая на TraderTraitor — поддерживаемую государством группировку, которую ФБР возложило ответственность за взлом Bybit на $1,5 млрд в 2025 году.

Нативный ETH не имеет эмитента и черного списка. Elliptic называет конвертацию украденных средств в нативные активы ключевой частью ответа атакующего на заморозки. Заем под залог USDT позволил добиться этого без продажи: стейблкоины остались на Aave в качестве залога, а атакующий ушел с ETH, при этом расследование также отметило отдельные продажи стейблкоинов маркет-мейкерам.

Время имеет значение. Обе транзакции займа были проведены в 20:59 и 21:00 UTC, до сообщения о первой заморозке Tether вскоре после 21:00.

Две транзакции, 19 762 ETH

Etherscan маркирует адрес заемщика как "Binance Hot Wallet Exploiter 3." В каждой транзакции врапнутый эфир (WETH) — токенизированная версия ETH, которую используют кредитные приложения, — покидал резерв Aave, разворачивался и поступал в кошелек в виде нативного ETH.

• 20:59:11 UTC, 29 октября: +3 271,4 ETH (Посмотреть транзакцию)
• 21:00:59 UTC, 29 октября: +16 491,0 ETH (Посмотреть транзакцию)

Итого: около 19 762,4 ETH. Первая заморозка рынка Aave последовала в 21:42, 41 минутой позже.

Что смогла и чего не смогла сделать заморозка Aave

Провайдер рисков LlamaRisk изложил реакцию Aave в обновлении по инциденту в 01:00 UTC 30 октября:

• Новые депозиты заблокированы
• Новые займы заблокированы
• Погашения, разрешенные выводы и ликвидации по-прежнему доступны
• Уже занятые ETH остаются у заемщика

Рыночная заморозка останавливает следующий заем, а не последний. Занятые атакующим ETH остались под его контролем, хотя остаются видимыми в блокчейне, и любая последующая переводка на биржу или в кастодиальный сервис может дать расследователям точку для вмешательства. Внесение адреса заемщика в черный список у эмитента стейблкоина — это также отдельный шаг, не связанный с иммобилизацией USDT, уже находящегося в кредитном контракте Aave.

Заем, который оставил после себя атакующий

На 01:00 UTC LlamaRisk оценивала позицию так:

• Залог (USDT): $59,9 млн
• Буфер: $16,1 млн
• Соотношение займа к стоимости: ~73%
• Долг (ETH): $43,8 млн

LlamaRisk описала позицию как избыточно обеспеченную и подлежащую обычной ликвидации. Таким образом, получение ETH не оставило, на том снимке, Aave с убытком, равным займу. Долг и залог нужно читать вместе: баланс залога в блок-эксплорере — это не расходуемые деньги, а токен долга, показанный без цены, остается долгом.

Та же логика применима к подсчету ущерба от кражи. 60 млн USDT и занятые под них ETH образуют одну позицию, поэтому учет обоих как отдельных убытков Binance привел бы к двойному учету залога.

Что сделал бы с займом рост цены ETH

Залог привязан к доллару, но долг номинирован в ETH. Когда ETH растет, долг в долларовом выражении увеличивается, тогда как USDT остается неизменным, а начисляемые проценты также увеличивают долг. Согласно механизму фактора здоровья Aave, позиция может быть ликвидирована, как только ее залог с учетом порога ликвидации перестает покрывать долг.

Долг на $43,8 млн предполагает цену ETH около $2 216. При фиксированном долге в 19 762,4 ETH внешний предел позиции находится около $3 031 — но это потолок, а не триггер. Поскольку Aave учитывает залог с порогом ликвидации ниже 100%, позиция стала бы ликвидируемой задолго до достижения ETH этого уровня. Точная точка зависит от параметров рынка, цен оракулов и начисленных процентов на конкретном блоке. При ликвидации ликвидатор погашает часть долга и получает залог плюс бонус.

Цена для обычных пользователей Aave

Заморозка депозитов для остановки атакующего также отрезала свежую ликвидность для всех остальных, при этом существующие поставщики продолжали выводить средства. В отдельной рекомендации от 30 октября LlamaRisk предложила временное снижение процентных ставок, отметив, что уровень использования вырос из-за вывода средств поставщиками, а более высокие ставки давили бы на заемщиков, не привлекая новых депозитов, пока резервы заморожены. Какие изменения были реализованы, пока не подтверждено.

ETH ушел из Aave. То, что произойдет с 60 млн USDT за ним — через погашение, ликвидацию или действие по возврату против залога, — теперь определяет, как заем атакующего будет окончательно урегулирован.

Эта статья предоставлена исключительно в информационных целях и не является финансовой или инвестиционной рекомендацией. Оригинал опубликован на Coindoo.