Los hackers de Binance se apresuraron a mover miles de millones antes de que se congelaran

Los atacantes detrás del presunto robo de 6300 millones de dólares a Binance aún controlan miles de millones de dólares en criptomonedas robadas, pese a los esfuerzos de los emisores para congelar los fondos.

El ataque, el mayor en la historia de las criptomonedas, comenzó el jueves a las 20:04 UTC, y los responsables —vinculados a los mismos hackers norcoreanos detrás del robo a Bitget el mes pasado— iniciaron inmediatamente la conversión de activos.

Su estrategia consistía en convertir activos susceptibles de congelación, como USDT y USDC, en otros no congelables, como Bitcoin (BTC) y Ether (ETH).

Dickson Wu, ingeniero de CertiK, rastreó 500 millones de dólares en USDT enviados a una sola dirección, de los cuales 325 millones se vendieron a market makers por ETH a las 20:59 UTC, menos de una hora después del inicio del robo.

Competían contra algunos de los guardianes más poderosos del ecosistema: gigantes de stablecoins como Tether y Circle, que ya habían comenzado a incluir en listas negras direcciones asociadas al robo.

Binance informó el viernes que unos 3000 millones de dólares de los activos robados fueron congelados en cadena, de un total estimado de 6300 millones, y que colabora con autoridades, emisores y firmas de análisis blockchain para rastrear fondos adicionales.

La magnitud del robo es abrumadora, incluso en términos cripto, pero, con casi la mitad de los activos ya congelados, ¿qué parte de las criptomonedas robadas pueden realmente gastar los perpetradores?

Criptomonedas con interruptor

A diferencia de BTC o ETH —criptomonedas descentralizadas sin emisor central ni posibilidad de pausarlas—, las stablecoins centralizadas como USDT de Tether y USDC de Circle tienen emisores capaces de congelar tokens en direcciones específicas.

Binance afirmó que colabora con las autoridades para rastrear los fondos. Fuente: Binance

Esto les otorga capacidad de respuesta rápida ante incidentes como este. Tether congeló unos 1567 millones de dólares en USDT en total; la primera congelación importante ocurrió a los 37 minutos de que los fondos robados llegaran a la billetera principal de Ethereum del atacante.

Circle congeló unos 823 millones de dólares en USDC tres minutos después, seguida rápidamente por otros emisores como Ripple y World Liberty Financial.

La capacidad de inmovilizar criptomonedas no es exclusiva de las stablecoins; aunque carecen de emisores centrales, algunos protocolos descentralizados como Arbitrum no permanecieron inactivos.

El Consejo de Seguridad de Arbitrum trasladó unos 30,5 millones de dólares en ARB y ETH a una billetera intermedia congelada, desde la cual solo pueden moverse tras una acción adicional del consejo o una votación de la gobernanza del DAO de Arbitrum.

Una distinción clave persiste: los fondos congelados no equivalen necesariamente a fondos recuperados. Inmovilizar activos impide que los presuntos atacantes los gasten, pero no los devuelve automáticamente a Binance ni a sus usuarios.

La complejidad de Aave

El protocolo descentralizado de préstamos Aave añade otra capa de complejidad a la ecuación. Entre las 20:58 y las 21:01 UTC, una billetera vinculada a los atacantes depositó 60 millones de dólares en USDT en Aave V3 en Ethereum y tomó prestados 44,6 millones de dólares en Ether encapsulado (WETH), unos 40 minutos antes del primer bloqueo.

LlamaRisk, proveedor de servicios de riesgo para Aave, indicó en su actualización de la 1:00 a. m. que la posición del atacante mantenía posteriormente unos 59,9 millones de dólares en colateral USDT frente a una deuda de 43,8 millones de dólares. Aave afirmó que la posición seguía estando sobrecolateralizada y no ponía en riesgo a los proveedores del protocolo.

Los mayores robos cripto de la historia. Fuente: Elliptic

Dado que el USDT ya se había depositado en el grupo de préstamos de Aave, la inclusión en la lista negra de la billetera del atacante no podía recuperar automáticamente el colateral retenido por el protocolo, como explicó Marc Zeller, fundador de la Aave Chan Initiative:

«El USDT es dinero real respaldado por dólares, y la posición es criminal, pero desde la perspectiva del protocolo está sobrecolateralizada.»

Para evitar nuevos depósitos y préstamos, Aave congeló temporalmente los mercados en sus despliegues V3 y V4, aunque los usuarios existentes aún podían retirar fondos, pagar préstamos y liquidar posiciones.

Posteriormente, Aave levantó su congelamiento preventivo en los mercados V3 y V4, indicando que sus contratos no se vieron afectados y que las posiciones siguieron estando sobrecolateralizadas.

«Solo otro día más en el mundo cripto», dijo Zeller.

¿Qué pueden conservar realmente los atacantes?

Elliptic estimó que, a las 7:00 a. m. UTC del viernes, se habían congelado 2840 millones de dólares, mientras que los atacantes seguían controlando unos 3330 millones de dólares en activos que los emisores no pudieron inmovilizar.

Aunque el bloqueo redujo casi a la mitad el pool de beneficios de los atacantes, eso no significa que todos los fondos restantes sean seguros de recuperar.

Bitcoin y Ether no cuentan con un emisor centralizado de tokens que pueda incluir direcciones individuales en listas negras, como hacen Tether o Circle. Por tanto, una vez que los activos robados se convierten en estas criptomonedas nativas, las transacciones pueden restringirse, pero congelarlos resulta mucho más difícil.

Binance se ha comprometido a cubrir todas las pérdidas mediante su Fondo Seguro de Activos para Usuarios (SAFU) y fondos corporativos, y afirma que los activos de los usuarios siguen seguros; según la última actualización del director ejecutivo de Binance, Richard Teng, la plataforma ya «está recuperando los activos robados para los usuarios».

Revista: Octubre negro de la ciberseguridad: cómo protegerte