Los hackers de Binance se apresuraron a mover miles de millones antes de que pudieran congelarse

Los atacantes detrás del hackeo de Binance, estimado en 6.300 millones de dólares, aún controlan miles de millones de dólares en criptomonedas robadas pese a los esfuerzos de los emisores de tokens por congelar los fondos obtenidos.

El ataque, el mayor de la historia de las criptomonedas, comenzó el jueves a las 8:04 p. m. UTC y los perpetradores, vinculados a los mismos hackers norcoreanos detrás del hackeo de Bitget del mes pasado, comenzaron de inmediato a convertir activos.

El plan de los hackers consistía en convertir los activos que podían congelarse, como USDT y USDC, en otros que no podían, como Bitcoin (BTC) y Ether (ETH).

El ingeniero de CertiK Dickson Wu rastreó 500 millones de dólares en USDT enviados a una dirección, de los cuales 325 millones se vendieron a creadores de mercado a cambio de ETH a las 20:59 UTC, menos de una hora después del inicio del hackeo.

Se apresuraban frente a algunos de los guardianes más poderosos del sector cripto: gigantes de las stablecoins como Tether y Circle, que ya habían comenzado a incluir en listas negras las direcciones asociadas al robo.

Binance dijo el viernes que alrededor de 3.000 millones de dólares de los activos robados habían sido congelados en la blockchain, de un total estimado de 6.300 millones de dólares, y que está trabajando con las fuerzas del orden, emisores y empresas de análisis de blockchain para rastrear fondos adicionales.

La magnitud del robo es difícil de asimilar, incluso para el sector cripto, pero con alrededor de la mitad de los activos ya congelados, ¿cuánto de las criptomonedas robadas pueden gastar realmente los perpetradores?

Criptomonedas con interruptor de apagado

A diferencia de BTC o ETH, criptomonedas descentralizadas sin un emisor central ni nadie que pueda pulsar el botón de pausa, las stablecoins centralizadas como el USDT de Tether y el USDC de Circle tienen emisores que pueden congelar tokens mantenidos en direcciones específicas.

Binance dijo que está trabajando con las fuerzas del orden para rastrear los fondos. Fuente: Binance

Eso les da el poder de actuar con rapidez en incidentes como estos. Tether congeló alrededor de 1.567 millones de dólares en USDT en total, y la primera congelación importante ocurrió apenas 37 minutos después de que los fondos robados llegaran a la billetera principal del atacante en Ethereum.

Relacionado: Binance dice que posee 5.000 millones de dólares en tokens equivalentes para cubrir las pérdidas del hackeo

Circle congeló alrededor de 823 millones de dólares en USDC tres minutos después, y otros emisores como Ripple y World Liberty Financial hicieron lo mismo poco después.

La capacidad de inmovilizar criptomonedas no es exclusiva de las stablecoins y, pese a no tener emisores centrales, algunos protocolos descentralizados como Arbitrum no se quedaron de brazos cruzados.

El Consejo de Seguridad de Arbitrum movió alrededor de 30,5 millones de dólares en ARB y ETH a una billetera intermediaria congelada, desde la que solo pueden moverse tras nuevas medidas del consejo o una votación de la gobernanza de Arbitrum DAO.

Sigue existiendo una distinción importante: los fondos congelados no equivalen necesariamente a fondos recuperados. Inmovilizar los activos impide que los presuntos atacantes los gasten, pero no los devuelve automáticamente a Binance o a sus usuarios.

La complicación de Aave

El protocolo descentralizado de préstamos Aave añade otra capa de complejidad al asunto. Entre las 20:58 y las 21:01 UTC, una billetera asociada a los atacantes depositó 60 millones de dólares en USDT en Aave V3 en Ethereum y tomó prestados 44,6 millones de dólares en Ether envuelto (WETH), unos 40 minutos antes de la primera congelación.

LlamaRisk, un proveedor de servicios de riesgo de Aave, dijo en su actualización de la 1:00 a. m. que posteriormente la posición del atacante mantenía alrededor de 59,9 millones de dólares en garantías de USDT frente a una deuda de 43,8 millones de dólares. Aave dijo que la posición seguía teniendo un exceso de garantías y no ponía en riesgo a los proveedores del protocolo.

Los mayores robos de criptomonedas de todos los tiempos. Fuente: Elliptic

Dado que el USDT ya se había depositado en el fondo de préstamos de Aave, incluir la billetera del atacante en una lista negra no podía recuperar automáticamente las garantías en poder del protocolo, como explicó el fundador de Aave Chan Initiative, Marc Zeller:

«El USDT es dinero real respaldado por dólares, y la posición es delictiva, pero está sobrecolateralizada a ojos del protocolo».

Para evitar nuevos depósitos y préstamos, Aave congeló temporalmente los mercados en sus implementaciones V3 y V4, aunque los usuarios existentes aún podían retirar fondos, pagar préstamos y liquidar posiciones.

Más tarde, Aave levantó su congelación preventiva en los mercados V3 y V4, y afirmó que sus contratos no se habían visto afectados y que las posiciones seguían teniendo un exceso de garantías.

«Un día más en el mundo cripto», dijo Zeller.

Entonces, ¿qué pueden conservar realmente los atacantes?

Elliptic estimó que para las 7:00 UTC del viernes se habían congelado 2.840 millones de dólares, mientras los atacantes aún controlaban alrededor de 3.330 millones de dólares en activos que los emisores no podían inmovilizar.

Y aunque la congelación redujo casi a la mitad el fondo de ganancias de los atacantes, eso no significa que todos los fondos restantes puedan recuperarse de forma segura.

Bitcoin y Ether no tienen un emisor centralizado de tokens que pueda incluir direcciones individuales en una lista negra como Tether o Circle. Por eso, una vez que los activos robados se convierten en estas criptomonedas nativas, las transacciones pueden restringirse, pero congelarlas resulta mucho más difícil.

Binance se ha comprometido a cubrir todas las pérdidas utilizando su Fondo de Activos Seguros para Usuarios (SAFU) y fondos de la empresa, y afirma que los activos de los usuarios siguen a salvo; según la última actualización del director ejecutivo de Binance, Richard Teng, el exchange ya está «recuperando los activos robados para los usuarios».

Revista: El octubre negro de la ciberseguridad: cómo protegerte