À la suite de l’incident de sécurité ayant touché les portefeuilles chauds de Binance, des analystes on-chain et des spécialistes des risques ont publié des détails sur le parcours de blanchiment de l’auteur de l’exploitation via des protocoles de finance décentralisée, ainsi que sur la réponse coordonnée visant à contenir l’incident.

Contexte de l’incident : le pillage des portefeuilles chauds

L’attaque a commencé par des transferts ayant compromis des portefeuilles chauds clés de la plateforme d’échange Binance (notamment les comptes désignés Binance 14 et Binance 16). L’auteur de l’exploitation a déplacé des milliards d’actifs crypto répartis entre plusieurs jetons majeurs, dont Tether (USDT), USD Coin (USDC), Ethereum (ETH) et de l’or tokenisé (PAXG, XAUT).

La direction de Binance a déclaré que les soldes des clients restaient sécurisés, et sa cofondatrice Yi He a confirmé que les réserves de la plateforme d’échange et le Secure Asset Fund for Users (SAFU) couvriraient toutes les pertes.

Le vecteur DeFi : blanchiment via Aave V3

Pour éviter le gel imminent de ses actifs par des émetteurs centralisés, l’attaquant a rapidement transféré les fonds vers des marchés monétaires décentralisés :

  1. * Dépôt de garanties : le pirate a déposé 60 millions de dollars en USDT sur le marché Aave V3 Ethereum Core.

  2. * Extraction d’actifs : en s’appuyant sur ce dépôt, l’adresse a emprunté 19 762 Wrapped Ether (WETH), d’une valeur d’environ 44,6 millions de dollars au moment de l’opération.

  3. * Mécanisme de l’exploitation : en convertissant des stablecoins centralisés (dotés de fonctions intégrées de mise sur liste noire et de gel) en WETH adossé à l’actif natif, l’auteur de l’exploitation a cherché à obtenir des liquidités résistantes à la censure avant que les contrats des stablecoins ne puissent être suspendus.

Selon la société de gestion des risques LlamaRisk, la position détient actuellement environ 59,9 millions de dollars de garanties en USDT contre 43,8 millions de dollars de dette en cours. Le prêt restant surgaranti et respectant les seuils habituels du facteur de santé, les analystes du protocole ont confirmé qu’il ne présente pas de risque immédiat de créance irrécouvrable pour les fournisseurs de liquidités d’Aave.

Réponse du protocole : gel des marchés sur plusieurs réseaux

Quelques minutes après avoir confirmé les flux non autorisés, Aave Labs, TokenLogic et Certora ont constitué une cellule de crise d’urgence et pris les mesures d’atténuation des risques suivantes :

  1. * Gel généralisé des marchés : Aave a décrété des gels d’urgence sur les marchés des déploiements Aave V3 (notamment Ethereum Core, Arbitrum, Optimism, Avalanche, Polygon, Base et BNB Chain) ainsi que sur les déploiements satellites de V4.

  2. * Suspension des emprunts et des dépôts : les nouveaux dépôts de garanties et les opérations d’emprunt ont été suspendus afin d’empêcher l’auteur de l’exploitation d’utiliser d’autres marchés comme liquidités de sortie.

  3. * Remboursements et retraits habituels : les utilisateurs actuels du protocole peuvent toujours rembourser leurs dettes et retirer les actifs non grevés.

  4. * Discussion sur la gouvernance : l’incident a suscité des propositions de la communauté visant à instaurer des limites de vitesse automatisées et des délais de dépôt variables pour les positions garanties dépassant 10 millions de dollars, afin de freiner le blanchiment rapide par prêts flash.

Avoirs on-chain et mesures de confinement des émetteurs

En dehors du pool de garanties d’Aave, l’adresse principale multichaîne de l’auteur de l’exploitation (0x5227f603c1ee34ce3c06efe6477003bdfccb2f8c) détient toujours plus de 2 milliards de dollars d’actifs centralisés :

  1. * 1,175 milliard d’USDT (Tether)

  2. * 800 millions d’USDC (Circle)

  3. * 12 000 Tether Gold (XAUT)

  4. * 1 900 Paxos Gold (PAXG)

Les émetteurs centralisés de stablecoins et d’actifs (Tether, Circle, Paxos) ont commencé à inscrire les adresses concernées sur liste noire. Par conséquent, la grande majorité des stablecoins et des matières premières tokenisées encore détenus restent immobilisés on-chain, ce qui permet à Binance et aux forces de l’ordre de récupérer les sommes gelées tout en suivant les sorties d’ETH empruntés.