Arbitrum Security Council friert 30 Millionen US-Dollar aus Binance-Hack ein, DAO-Abstimmung ausstehend
Wichtige Erkenntnisse
- •Der Security Council von Arbitrum übertrug am 30. Oktober, einen Tag nach dem Binance-Exploit, 8.425 ETH und 74,56 Millionen ARB im Wert von rund 30 Millionen US-Dollar von einer mit dem Angreifer verbundenen Adresse in eine governance-kontrollierte Halte-Wallet.
- •Der Eingriff beruhte auf einem temporären Upgrade des Inbox-Vertrags von Arbitrum, das Transaktionen mit leeren Signaturfeldern erzeugte – ein Beleg dafür, dass der Besitz eines privaten Schlüssels keine exklusive Kontrolle über Vermögenswerte auf Arbitrum One garantiert.
- •Die eingefrorenen Vermögenswerte können nur durch eine ArbitrumDAO-Abstimmung freigegeben werden; dies ist der zweite solche Eingriff des Councils in diesem Jahr nach dem Einfrieren von rund 30.766 ETH im Zusammenhang mit dem KelpDAO-Exploit im April.
- •Binance gab am 3. November bekannt, dass der Angriff insgesamt etwa 6,34 Milliarden US-Dollar betraf, wobei 2,85 Milliarden US-Dollar eingefroren oder abgefangen wurden; das FBI ordnetet den Diebstahl der nordkoreanischen Operation TraderTraitor zu.
- •Das Eindringen ging von einer im Juni heruntergeladenen manipulierten Homebrew-Installation und einem Recruiting-Betrug im September aus; Binance hat inzwischen 98 % der betroffenen Token ersetzt, während unabhängige Cybersecurity-Firmen die vorläufigen Erkenntnisse prüfen.
Der Security Council von Arbitrum hat rund 30 Millionen US-Dollar in Vermögenswerten im Zusammenhang mit dem Binance-Exploit vom 29. Oktober gesichert, indem er Notfall-Upgrade-Befugnisse nutzte, um die Mittel von einer mit dem Angreifer verbundenen Adresse zu übertragen, ohne deren privaten Schlüssel zu erhalten.
Der Eingriff am 30. Oktober, einen Tag nach dem Exploit, übertrug 8.425 ETH und 74,56 Millionen ARB auf eine Halteadresse, die über die ArbitrumDAO-Governance kontrolliert wird, wie in einem Beitrag des Security Council im Arbitrum-Governance-Forum dokumentiert. Die Vermögenswerte bleiben eingefroren, anstatt an Binance zurückgegeben zu werden; vor ihrer Freigabe ist eine DAO-Abstimmung erforderlich, sodass die endgültige Verfügung über die Mittel der ArbitrumDAO-Governance obliegt und nicht dem Council, der die Sperrung durchführte. Arbitrum erklärte, keine anderen Nutzerfonds oder Anwendungen seien betroffen.
Notfall-Upgrade umgeht Signaturanforderungen
Der aus zwölf Mitgliedern bestehende Council benötigt die Zustimmung von mindestens neun Mitgliedern, um Notfallmaßnahmen durchzuführen. Diese Befugnisse erlauben es ihm, Netzwerkverträge zu aktualisieren, ohne den normalen Governance-Prozess abzuwarten.
Für diesen Eingriff änderte der Council vorübergehend den Ethereum-basierten Inbox-Vertrag von Arbitrum, der Nachrichten in das Layer-2-Netzwerk überträgt. Der Ersatz-Code erlaubte die Verarbeitung von zwei Transaktionen, als ob sie von der mit dem Angreifer verbundenen Adresse stammten, und verlagerte deren ETH und ARB in die Halte-Wallet. Die ursprüngliche Vertragsimplementierung wurde noch innerhalb derselben Ethereum-Transaktion wiederhergestellt.
Das Sicherheitsunternehmen Zealynx stellte fest, dass die resultierenden Arbitrum-Transaktionen leere Signaturfelder enthielten, was zeigt, dass die Übertragungen keine Signaturen der Ziel-Wallet erforderten – ein Mechanismus, der in einer Diskussion bei Ethereum Magicians untersucht wurde. Der Eingriff beruhte auf autorisierten Upgrade-Befugnissen und nicht auf einer Kompromittierung der kryptografischen Schlüssel der Wallet. Er zeigte außerdem, dass der Besitz eines privaten Schlüssels keine exklusive Kontrolle über Vermögenswerte auf Arbitrum One garantiert, wenn die Governance die Regeln zur Transaktionsverarbeitung ändern kann.
Den gleichen Ansatz nutzte der Council im April, um rund 30.766 ETH im Zusammenhang mit dem KelpDAO-Exploit einzufrieren. Die Binance-bezogene Maßnahme ist der zweite solche Eingriff in diesem Jahr.
Binance Details monatelangen Eindringens
Binance teilte am 3. November, fünf Tage nach dem Vorfall, mit, dass der Angriff insgesamt etwa 6,34 Milliarden US-Dollar betraf, wobei 2,85 Milliarden US-Dollar eingefroren oder abgefangen wurden, wie aus dem offiziellen Blogbeitrag und einem Beitrag auf X hervorgeht. Das FBI ordnetet den Diebstahl der nordkoreanischen Operation TraderTraitor zu.
Die Börse verfolgte die Kampagne auf eine manipulierte Homebrew-Installation zurück, die im Juni heruntergeladen wurde, sowie auf einen separaten Recruiting-Betrug im September, der einen weiteren Ingenieur zum Herunterladen bösartigen Codes verleitete. Anschließend nutzten die Angreifer kompromittierte Geräte, ein internes KI-Tool und gestohlene Zugangsdaten, um an die Infrastruktur für Wallet-Signaturen zu gelangen.
Die Überweisungen vom 29. Oktober umfassten 233,46 Millionen XRP. Auf Ethereum ermöglichten bösartige EIP-7702-Autorisierungen weitere Übertragungen außerhalb von Binances normalen Auszahlungssystemen, sodass die Aussetzung der Kundenauszahlungen nicht jeden Abfluss stoppte.
Binance erklärte, dass ausreichend Mittel zur Abdeckung der Verluste bereitgestellt wurden und 98 % der betroffenen Token bereits ersetzt wurden, während der Rest mit geringerer Liquidität angekauft wurde. Das Unternehmen baute zudem betroffene Systeme neu auf, ersetzte kompromittierte Geräte und sperrte offengelegte Zugangsdaten. Diese Ersatzkäufe sind von der Wiedererlangung der gestohlenen Vermögenswerte getrennt.
Binance zieht unabhängige Cybersecurity-Firmen hinzu, um seine vorläufigen Erkenntnisse zu überprüfen, während die durch Arbitrums Eingriff gesicherten Mittel weiterhin von einer Governance-Entscheidung abhängen. Der Ausgang der DAO-Abstimmung und die Ergebnisse der unabhängigen Prüfungen sind die nächsten Entwicklungen, die zu beobachten sind.
