Los atacantes detrás del hackeo de Binance, cuyo valor se estima en 6.300 millones de dólares, aún controlan miles de millones de dólares en criptomonedas robadas, pese a los esfuerzos de los emisores de tokens por congelar los fondos.
El ataque, el mayor de la historia de las criptomonedas, comenzó el jueves a las 20:04 UTC y los perpetradores, vinculados a los mismos hackers norcoreanos responsables del hackeo de Bitget el mes pasado, comenzaron de inmediato a convertir los activos.
El plan de los hackers era convertir los activos que podían congelarse, como USDT y USDC, en otros que no podían, como Bitcoin (BTC) y Ether (ETH).
El ingeniero de CertiK Dickson Wu rastreó 500 millones de dólares en USDT enviados a una dirección; para las 20:59 UTC, se habían vendido 325 millones de dólares a creadores de mercado a cambio de ETH, menos de una hora después de que comenzara el hackeo.
Competían contra algunos de los guardianes más poderosos del mundo cripto: gigantes de las monedas estables como Tether y Circle, que ya habían comenzado a incluir en listas negras direcciones asociadas con el robo.
Binance dijo el viernes que se habían congelado en la cadena cerca de 3.000 millones de dólares de los activos robados, de un total estimado de 6.300 millones, y que está trabajando con las fuerzas del orden, los emisores y empresas de análisis de cadenas de bloques para rastrear fondos adicionales.
La magnitud del robo es difícil de asimilar, incluso para el mundo cripto, pero con cerca de la mitad de los activos ya congelados, ¿cuánto de las criptomonedas robadas pueden gastar realmente los perpetradores?
Criptomonedas con interruptor de apagado
A diferencia de BTC o ETH, que son criptomonedas descentralizadas sin un emisor central ni nadie que pueda pulsar el botón de pausa, las monedas estables centralizadas como USDT de Tether y USDC de Circle tienen emisores que pueden congelar los tokens guardados en direcciones específicas.
Binance dijo que está trabajando con las fuerzas del orden para rastrear los fondos. Fuente: Binance
Eso les permite actuar con rapidez en incidentes como este. Tether congeló un total de cerca de 1.567 millones de dólares en USDT; la primera congelación importante tuvo lugar apenas 37 minutos después de que los fondos robados llegaran a la billetera principal del atacante en Ethereum.
Circle congeló cerca de 823 millones de dólares en USDC tres minutos después, y otros emisores como Ripple y World Liberty Financial hicieron lo mismo poco después.
La capacidad de inmovilizar criptomonedas no es exclusiva de las monedas estables y, aunque no cuentan con emisores centrales, algunos protocolos descentralizados como Arbitrum tampoco se quedaron de brazos cruzados.
El Consejo de Seguridad de Arbitrum trasladó cerca de 30,5 millones de dólares en ARB y ETH a una billetera intermediaria congelada, desde la que solo se podrán transferir tras otra intervención del consejo o mediante una votación de la gobernanza de Arbitrum DAO.
Sigue vigente una distinción importante: los fondos congelados no equivalen necesariamente a fondos recuperados. Inmovilizar los activos impide que los presuntos atacantes los gasten, pero no los devuelve automáticamente a Binance ni a sus usuarios.
La complicación de Aave
El protocolo de préstamos descentralizado Aave añade otra capa de complejidad al asunto. Entre las 20:58 y las 21:01 UTC, una billetera asociada con los atacantes depositó 60 millones de dólares en USDT en Aave V3 en Ethereum y pidió prestados 44,6 millones de dólares en Ether envuelto (WETH), unos 40 minutos antes de la primera congelación.
LlamaRisk, un proveedor de servicios de gestión de riesgos de Aave, dijo en su actualización de la 1:00 a. m. que la posición del atacante llegó a tener cerca de 59,9 millones de dólares en garantías de USDT frente a una deuda de 43,8 millones. Aave dijo que la posición seguía sobrecolateralizada y no ponía en riesgo a los proveedores del protocolo.
Los mayores robos de criptomonedas de todos los tiempos. Fuente: Elliptic
Como los USDT ya se habían depositado en el fondo de préstamos de Aave, incluir la billetera del atacante en una lista negra no podía recuperar automáticamente las garantías retenidas por el protocolo, como explicó Marc Zeller, fundador de Aave Chan Initiative:
«USDT es dinero real respaldado por dólares, y la posición es criminal, pero está sobrecolateralizada a ojos del protocolo».
Para impedir nuevos depósitos y préstamos, Aave congeló temporalmente los mercados en sus implementaciones V3 y V4, aunque los usuarios existentes aún podían retirar fondos, pagar préstamos y liquidar posiciones.
Más tarde, Aave levantó la congelación preventiva de los mercados V3 y V4 y afirmó que sus contratos no se habían visto afectados y que las posiciones seguían sobrecolateralizadas.
«Un día más en el mundo cripto», dijo Zeller.
Entonces, ¿qué pueden conservar realmente los atacantes?
Elliptic estimó que para las 7:00 UTC del viernes se habían congelado 2.840 millones de dólares, mientras que los atacantes aún controlaban cerca de 3.330 millones en activos que los emisores no podían inmovilizar.
Y aunque la congelación redujo casi a la mitad las ganancias potenciales de los atacantes, eso no significa que todos los fondos restantes puedan recuperarse sin problemas.
Bitcoin y Ether no tienen un emisor centralizado de tokens que pueda incluir direcciones individuales en una lista negra, como hacen Tether o Circle. Por eso, una vez que los activos robados se convierten en estas criptomonedas nativas, es posible restringir las transacciones, pero congelarlas es mucho más difícil.
Binance se ha comprometido a cubrir todas las pérdidas con su Fondo de Activos Seguros para Usuarios (SAFU) y fondos de la empresa, y afirma que los activos de los usuarios siguen estando seguros; según la última actualización del director ejecutivo de Binance, Richard Teng, la plataforma ya está «recuperando los activos robados para los usuarios».
Revista: Octubre negro de la ciberseguridad: cómo protegerte