Hackers da Binance correram para mover bilhões antes que pudessem ser congelados

Os atacantes por trás do hack estimado em US$ 6,3 bilhões na Binance ainda controlam bilhões de dólares em criptomoedas roubadas, apesar dos esforços dos emissores de tokens para congelar os recursos.

O ataque, o maior da história das criptomoedas, começou às 20h04 (UTC) de quinta-feira, e os responsáveis — ligados aos mesmos hackers norte-coreanos envolvidos no hack da Bitget no mês passado — começaram imediatamente a converter os ativos.

O plano dos hackers era converter ativos passíveis de congelamento, como USDT e USDC, em outros não passíveis, como Bitcoin (BTC) e Ether (ETH).

O engenheiro da CertiK Dickson Wu rastreou US$ 500 milhões em USDT enviados a um único endereço, dos quais US$ 325 milhões foram vendidos a market makers por ETH às 20h59 (UTC), menos de uma hora após o início do hack.

Eles corriam contra alguns dos guardiões mais poderosos do ecossistema cripto: gigantes de stablecoins como a Tether e a Circle, que já haviam começado a bloquear endereços associados ao roubo.

A Binance informou na sexta-feira que cerca de US$ 3 bilhões dos ativos roubados foram congelados on-chain, de um total estimado de US$ 6,3 bilhões, e que está colaborando com autoridades policiais, emissores e empresas de análise blockchain para rastrear fundos adicionais.

A escala do roubo é impressionante, mesmo para os padrões do setor cripto, mas, com cerca da metade dos ativos já congelada, quanto dos criptoativos roubados os responsáveis realmente conseguem gastar?

Criptomoedas com botão de pausa

Diferentemente do BTC ou do ETH — criptomoedas descentralizadas sem emissor central nem autoridade capaz de interrompê-las — stablecoins centralizadas como o USDT da Tether e o USDC da Circle possuem emissores que podem congelar tokens mantidos em endereços específicos.

A Binance afirmou estar colaborando com autoridades policiais para rastrear os fundos. Fonte: Binance

Isso lhes confere poder para agir rapidamente em incidentes como esse. A Tether congelou cerca de US$ 1,567 bilhão em USDT no total, com o primeiro grande congelamento ocorrendo apenas 37 minutos após os fundos roubados chegarem à carteira principal dos atacantes na rede Ethereum.

A Circle congelou cerca de US$ 823 milhões em USDC três minutos depois, seguida por outros emissores, como Ripple e World Liberty Financial.

A capacidade de imobilizar criptoativos não é exclusiva das stablecoins; embora não tenham emissores centrais, alguns protocolos descentralizados, como o Arbitrum, também não ficaram inativos.

O Conselho de Segurança do Arbitrum transferiu cerca de US$ 30,5 milhões em ARB e ETH para uma carteira intermediária congelada, onde só poderão ser movidos após nova decisão do conselho ou votação da governança do Arbitrum DAO.

Uma distinção importante permanece: fundos congelados não equivalem necessariamente a fundos recuperados. Imobilizar ativos impede que os suspeitos os utilizem, mas não os devolve automaticamente à Binance ou a seus usuários.

A complicação do Aave

O protocolo descentralizado de empréstimos Aave adiciona outra camada de complexidade à equação. Entre 20h58 e 21h01 UTC, uma carteira associada aos atacantes depositou US$ 60 milhões em USDT no Aave V3 na Ethereum e tomou emprestados US$ 44,6 milhões em Ether envolto (WETH), cerca de 40 minutos antes do primeiro congelamento.

A LlamaRisk, provedora de serviços de risco para o Aave, afirmou, em sua atualização às 1h00, que a posição do atacante passou a manter cerca de US$ 59,9 milhões em colateral em USDT contra uma dívida de US$ 43,8 milhões. O Aave informou que a posição permanecia supercolateralizada e não colocava os fornecedores do protocolo em risco.

Maiores assaltos cripto de todos os tempos. Fonte: Elliptic

Como o USDT já havia sido depositado no pool de empréstimos do Aave, o bloqueio da carteira do atacante não permitia recuperar automaticamente o colateral retido pelo protocolo, conforme explicou Marc Zeller, fundador da Aave Chan Initiative:

“O USDT é dinheiro real lastreado em dólares, e a posição é criminosa, mas supercolateralizada aos olhos do protocolo.”

Para impedir novos depósitos e empréstimos, o Aave congelou temporariamente os mercados em suas versões V3 e V4, embora usuários existentes ainda pudessem sacar fundos, quitar empréstimos e liquidar posições.

Posteriormente, o Aave suspendeu seu congelamento preventivo nos mercados V3 e V4, afirmando que seus contratos não foram afetados e que as posições continuavam supercolateralizadas.

“Só mais um dia no mundo das criptomoedas”, disse Zeller.

Então, o que os atacantes realmente conseguem manter?

A Elliptic estimou que US$ 2,84 bilhões haviam sido congelados até as 7h00 UTC de sexta-feira, enquanto os atacantes ainda controlavam cerca de US$ 3,33 bilhões em ativos que os emissores não puderam imobilizar.

Embora o congelamento tenha reduzido quase pela metade o montante potencial de lucro dos atacantes, isso não significa que todos os fundos restantes possam ser recuperados com segurança.

Bitcoin e Ether não possuem um emissor centralizado capaz de bloquear endereços individuais, como fazem a Tether ou a Circle. Assim, assim que ativos roubados são convertidos nessas criptomoedas nativas, as transações podem ser restringidas, mas congelá-las é muito mais difícil.

A Binance comprometeu-se a cobrir todos os prejuízos usando seu Fundo Seguro de Ativos para Usuários (SAFU) e recursos próprios da empresa, afirmando que os ativos dos usuários permanecem seguros; segundo a mais recente atualização do CEO da Binance, Richard Teng, a exchange já está “recuperando ativos roubados para os usuários”.

Revista: Outubro Negro da Cibersegurança: Como se proteger