Gli hacker di Binance hanno cercato di spostare miliardi prima che potessero essere congelati

Gli aggressori responsabili dell’hack ai danni di Binance, stimato in 6,3 miliardi di dollari, controllano ancora miliardi di dollari in criptovalute rubate nonostante gli sforzi degli emittenti di token per congelare i proventi.

L’attacco, il più grande nella storia delle criptovalute, è iniziato alle 20:04 UTC di giovedì e gli autori, collegati agli stessi hacker nordcoreani responsabili dell’hack di Bitget del mese scorso, hanno iniziato immediatamente a convertire gli asset.

Il piano degli hacker consisteva nel convertire gli asset che potevano essere congelati, come USDT e USDC, in quelli che non potevano esserlo, come Bitcoin (BTC) ed Ether (ETH).

L’ingegnere di CertiK Dickson Wu ha tracciato 500 milioni di dollari in USDT inviati a un unico indirizzo; entro le 20:59 UTC, meno di un’ora dopo l’inizio dell’hack, 325 milioni di dollari erano stati venduti ai market maker in cambio di ETH.

Stavano gareggiando contro alcuni dei più potenti custodi del settore crypto: giganti delle stablecoin come Tether e Circle, che avevano già iniziato a inserire nella blacklist gli indirizzi associati al furto.

Binance ha dichiarato venerdì che circa 3 miliardi di dollari degli asset rubati erano stati congelati on-chain su un totale stimato di 6,3 miliardi di dollari e che sta collaborando con le autorità, gli emittenti e le società di analisi blockchain per tracciare ulteriori fondi.

La portata del furto è sbalorditiva, persino per gli standard del settore crypto, ma con circa metà degli asset già congelata, quanto delle criptovalute rubate possono effettivamente spendere gli autori?

Le crypto con un interruttore di spegnimento

A differenza di BTC o ETH, criptovalute decentralizzate senza un emittente centrale e senza qualcuno che possa premere il pulsante di pausa, le stablecoin centralizzate come USDT di Tether e USDC di Circle hanno emittenti che possono congelare i token detenuti presso indirizzi specifici.

Binance ha dichiarato di collaborare con le autorità per tracciare i fondi. Fonte: Binance

Questo dà loro il potere di agire rapidamente in casi come questo. Tether ha congelato complessivamente circa 1,567 miliardi di dollari in USDT, con il primo grande congelamento avvenuto appena 37 minuti dopo che i fondi rubati avevano raggiunto il wallet Ethereum principale dell’aggressore.

Correlato: Binance afferma di detenere 5 miliardi di dollari in token corrispondenti per coprire le perdite dell’hack

Circle ha congelato circa 823 milioni di dollari in USDC tre minuti dopo, seguito poco dopo da altri emittenti come Ripple e World Liberty Financial.

La capacità di immobilizzare le criptovalute non è una caratteristica esclusiva delle stablecoin e, nonostante l’assenza di emittenti centrali, alcuni protocolli decentralizzati come Arbitrum non sono rimasti a guardare.

Il Security Council di Arbitrum ha spostato circa 30,5 milioni di dollari in ARB ed ETH in un wallet intermediario congelato, da cui potranno essere trasferiti solo dopo ulteriori azioni del consiglio o un voto della governance della DAO di Arbitrum.

Resta un’importante distinzione: i fondi congelati non equivalgono necessariamente a fondi recuperati. Immobilizzare gli asset impedisce ai presunti aggressori di spenderli, ma non li restituisce automaticamente a Binance o ai suoi utenti.

La complicazione Aave

Il protocollo di prestiti decentralizzato Aave aggiunge un ulteriore livello di complessità alla situazione. Tra le 20:58 e le 21:01 UTC, un wallet associato agli aggressori ha depositato 60 milioni di dollari in USDT in Aave V3 su Ethereum e ha preso in prestito 44,6 milioni di dollari in Ether wrapped (WETH), circa 40 minuti prima del primo congelamento.

LlamaRisk, un fornitore di servizi di gestione del rischio per Aave, ha dichiarato nel suo aggiornamento dell’1:00 che la posizione dell’attaccante deteneva successivamente circa 59,9 milioni di dollari in garanzie USDT a fronte di 43,8 milioni di dollari di debito. Aave ha dichiarato che la posizione restava sovracollateralizzata e non esponeva a rischi i fornitori del protocollo.

I più grandi furti di criptovalute di sempre. Fonte: Elliptic

Poiché gli USDT erano già stati depositati nel lending pool di Aave, inserire il wallet dell’attaccante nella blacklist non avrebbe potuto recuperare automaticamente la garanzia detenuta dal protocollo, come ha spiegato Marc Zeller, fondatore della Aave Chan Initiative:

“USDT è denaro reale garantito da dollari e la posizione è criminale, ma sovracollateralizzata agli occhi del protocollo.”

Per impedire ulteriori depositi e prestiti, Aave ha temporaneamente congelato i mercati delle implementazioni V3 e V4, sebbene gli utenti esistenti potessero ancora ritirare i fondi, rimborsare i prestiti e liquidare le posizioni.

Aave ha in seguito revocato il congelamento precauzionale dei mercati V3 e V4, affermando che i suoi contratti non erano stati interessati e che le posizioni restavano sovracollateralizzate.

“Un altro giorno come tanti nel settore crypto”, ha dichiarato Zeller.

Quindi, cosa possono effettivamente tenere gli aggressori?

Elliptic ha stimato che entro le 7:00 UTC di venerdì fossero stati congelati 2,84 miliardi di dollari, mentre gli attaccanti controllavano ancora circa 3,33 miliardi di dollari in asset che gli emittenti non potevano immobilizzare.

E se il congelamento ha quasi dimezzato il bottino degli aggressori, ciò non significa che tutti i fondi rimanenti siano sicuri da recuperare.

Bitcoin ed Ether non hanno un emittente centralizzato dei token che possa inserire nella blacklist singoli indirizzi come Tether o Circle. Pertanto, una volta convertiti gli asset rubati in queste criptovalute native, le transazioni possono essere limitate, ma congelarle è molto più difficile.

Binance si è impegnata a coprire tutte le perdite utilizzando il proprio Secure Asset Fund for Users (SAFU) e fondi aziendali, e afferma che gli asset degli utenti restano al sicuro; secondo l’ultimo aggiornamento dell’amministratore delegato di Binance Richard Teng, l’exchange sta già «recuperando gli asset rubati per gli utenti».

Rivista: Il Black October della cybersicurezza: come proteggersi