Hack da Binance leva stablecoins a buscar uma rota de fuga pelo Ethereum
Carteiras ligadas ao hack da Binance estão convertendo stablecoins em Ethereum (ETH) por meio de protocolos de finanças descentralizadas (DeFi), numa tentativa de retirar os fundos do alcance de emissores capazes de congelar ativos. A movimentação envolve plataformas como Uniswap e Aave, enquanto protocolos do setor começam a suspender operações.
O ataque esvaziou carteiras associadas à Binance em pelo menos US$ 5,5 bilhões, segundo os dados citados na investigação. A corretora, considerada a maior do mundo em volume de negociação, afirmou que estava apurando o incidente, mas não confirmou se os fundos dos usuários foram afetados. Especialistas em segurança, porém, acreditam que a plataforma foi efetivamente hackeada.
A resposta de empresas emissoras de stablecoins foi rápida. Tether e Circle adicionaram endereços associados ao suspeito às suas listas de bloqueio, impedindo a movimentação de parte dos ativos. Mais de US$ 2 bilhões em tokens dessas empresas já haviam sido congelados por diferentes provedores de stablecoins.
O problema para os responsáveis pelo ataque é que ativos como USDT e USDC podem ser bloqueados por suas respectivas emissoras. O ETH, por outro lado, não possui uma entidade central responsável pela emissão com capacidade de congelar endereços.
Por isso, converter as stablecoins antes de um eventual bloqueio permite retirar parte dos fundos do alcance dessas empresas.
Hack da Binance leva movimentações a protocolos DeFi
Os registros do Etherscan mostram transações envolvendo dez carteiras associadas ao ataque, oito delas identificadas pela plataforma como endereços de exploradores (exploiters).
Na Uniswap, uma corretora descentralizada em que as operações são executadas automaticamente por contratos inteligentes, carteiras ligadas ao incidente receberam grandes quantidades de ETH por meio do contrato UniswapX.
Uma das carteiras recebeu 20.940 ETH, avaliados em aproximadamente US$ 45,58 milhões, em uma única transação. Outras transferências incluíram 3.552 ETH, além de lotes de 7.444 ETH, 10.642 ETH, 6.946 ETH e 9.552 ETH, segundo os registros de transações.
A Aave, protocolo de empréstimos descentralizados, também foi utilizada na movimentação. Entre 20h57 e 21h01 UTC, uma carteira depositou US$ 10 milhões e, em seguida, outros US$ 50 milhões em USDT como garantia. Em troca, tomou emprestados 3.271 ETH e posteriormente mais 16.491 ETH, somando aproximadamente US$ 44,9 milhões em Ethereum.
A movimentação levou a Aave a congelar seus mercados V3 na rede principal da Ethereum, bloqueando novos depósitos e empréstimos. A Kamino, protocolo DeFi construído na blockchain Solana, também suspendeu seus mercados de Solana e Bitcoin como medida preventiva.
Apesar das conversões, parte considerável dos ativos permanece concentrada em carteiras identificadas como pertencentes aos responsáveis pelo ataque. Às 22h03 UTC, uma delas ainda armazenava 195.460 ETH, avaliados em US$ 444,2 milhões. Outra havia recebido 57.891,77 ETH, equivalentes a US$ 131,6 milhões.
Juntas, as duas carteiras acumulavam aproximadamente 253 mil ETH, ou cerca de US$ 570 milhões. Os registros mostram que parte desse segundo montante passou por quatro carteiras diferentes em apenas 28 minutos antes de chegar ao endereço identificado como Exploiter 11.
O ataque também envolveu RLUSD, stablecoin atrelada ao dólar emitida pela Ripple. Os responsáveis trocaram 36 milhões de RLUSD por 15.439 ETH, enquanto outros 52,54 milhões de RLUSD permaneciam sem congelamento na carteira de armazenamento identificada nos registros.
A Ripple informou que estava monitorando o caso e trabalhando para congelar os fundos afetados. Segundo Yi He, co-CEO da Binance, a empresa conseguiu bloquear aproximadamente US$ 200 milhões.
“Thanks to the Ripple team for promptly freezing approximately 200 million. User Funds are SAFU”, escreveu Yi He na rede social X, em referência ao fundo de reserva de emergência da Binance.
Enquanto isso, o Tornado Cash, protocolo utilizado para dificultar o rastreamento de transações, aparece até o momento apenas no financiamento do endereço responsável pela preparação do ataque.
