Circle voor de rechter: USDC-uitgever liet hackers zes uur begaan

Circle heeft een rechtszaak aan zijn broek hangen. De uitgever van de tweede grootste stablecoin USDC wordt aangeklaagd door gedupeerden van de Drift-hack. Bij die aanval op het Solana-platform werden honderden miljoenen dollars buitgemaakt en volgens de eisers keek Circle toe terwijl de buit via zijn eigen infrastructuur werd weggesluisd.

Aanklacht in Massachusetts

De class action werd woensdag ingediend bij een federale rechtbank in Massachusetts. Hoofdeiser is Drift-investeerder Joshua McCollum, die namens meer dan honderd gedupeerden optreedt. Advocatenkantoor Gibbs Mura trekt de kar en eist een schadevergoeding die bij de rechtszaak wordt bepaald.

De aanklacht gaat over de hack van 1 april, waarbij aanvallers 280 miljoen dollar bij het Drift, een gedecentraliseerde derivatenbeurs op het Solana-netwerk, wegsluisden.

Volgens de eisers verplaatsten de hackers circa 230 miljoen dollar aan USDC van Solana naar Ethereum via Circle’s eigen Cross-Chain Transfer Protocol (CCTP). Dat is een brug waarmee USDC-tegoeden tussen verschillende blockchains kunnen worden overgezet.

Circle had volgens de advocaten zes uur de tijd om in te grijpen, maar liet de tegoeden ongemoeid. De beschuldigingen luiden nalatigheid en het bewust faciliteren van de verplaatsing van gestolen geld.

‘Bewezen dat het kon’

De advocaten wijzen op een pijnlijk detail. Negen dagen voor de hack bevroor Circle nog zestien wallets in een aparte civiele zaak. “Circle had de technische mogelijkheid, de contractuele bevoegdheid en het eerder aangetoonde vermogen om in te grijpen”, schrijven de juristen.

Crypto-onderzoeker ZachXBT legt Circle nog zwaarder het vuur aan de schenen. Volgens hem is het bedrijf sinds 2022 meermaals in gebreke gebleven bij verdachte transacties, voor in totaal meer dan 420 miljoen dollar. Zelfs na waarschuwingen van opsporingsdiensten en beveiligingsexperts bleven gestolen USDC-tegoeden dagenlang onaangeroerd, aldus de onderzoeker.

Volgens onderzoeksbureau Elliptic zitten Noord-Koreaanse hackers achter de Drift-aanval. Zij sluisden de buit door Tornado Cash, een zogeheten crypto-mixer die transacties onvindbaar maakt.

Moreel dilemma

De zaak raakt aan een juridisch niemandsland. Cryptobedrijven die technisch de macht hebben om tegoeden te bevriezen, wijzen bij een hack vaak naar wettelijke beperkingen of het ontbreken van een rechterlijk bevel als reden om niets te doen. Terwijl een exploit zich in real-time afspeelt, blijft daardoor onduidelijk wie eigenlijk verantwoordelijk is.

Bloomberg ETF-analist James Seyffart vindt dat het anders moet. Hij schreef het volgende op socialmediaplatform X:

“Ik hoop dat hier een precedent wordt gezet. Óf je bent een decentraal protocol en hebt letterlijk niet de macht om te bevriezen, óf je bent dat niet en dan zou je gehackte tegoeden moeten bevriezen. Dit halfslachtige ‘alleen met een rechterlijk bevel’-verhaal is zwak. Het mist het bos door de bomen.”

Circle-topman Jeremy Allaire verdedigde de handelwijze eerder deze week en noemt zelf het heft in handen nemen een ”aanzienlijk moreel dilemma”.

Ook Lorenzo Valente, hoofd digitale activa bij ARK Invest, stak Circle een hart onder de riem. Wallets bevriezen zonder juridisch bevel opent volgens hem de deur naar willekeur. Of Circle juist handelde, hangt volgens hem af van de vraag of je rechtsstaat-principes of concrete schade zwaarder laat wegen.

Drift is inmiddels overgestapt van USDC naar Tether’s USDT en haalde een reddingspakket van 147,5 miljoen dollar binnen.