Der Arbitrum Security Council übertrug im Rahmen einer Notfallmaßnahme am 30. Oktober 8.425 ETH und 74,6 Millionen ARB aus einer Wallet, die mit einem Exploit in Verbindung steht, an eine Adresse mit der Endung 0DA0. Die Operation nutzte ein Inbox-Override, das es dem Netzwerk erlaubte, Transaktionen zu akzeptieren, die scheinbar vom Angreifer stammten, ohne dessen privaten Schlüssel zu verwenden.

Laut der Notfallmaßnahmen-Offenlegung des Security Councils wurde die Maßnahme um 8:08 Uhr Hongkonger Zeit ausgeführt. Der Council erklärte, dass die Gelder oder Anwendungen anderer Nutzer nicht betroffen waren. Presseschätzungen bezifferten die eingefrorenen Vermögenswerte auf nahezu 30 Millionen US-Dollar, verglichen mit den rund 6,3 Milliarden US-Dollar, die laut Binance aus seinen Wallets abgezogen wurden.

Die Gelder können die 0DA0-Adresse nur durch einen ArbitrumDAO-Governance-Vote verlassen. Die Maßnahme beinhaltete daher drei getrennte Befugnisse: Der Council konnte keine Transaktionen für die Wallet des Angreifers signieren, aber er konnte ändern, wie Arbitrum One Transaktionen akzeptiert. Die Entscheidung, wer die Vermögenswerte letztlich erhält, liegt beim DAO und – wie eine frühere Einfrierung zeigte – möglicherweise auch bei einem US-Gericht.

Wie das Inbox-Override funktionierte

Nachrichten von Ethereum erreichen Arbitrum One über den Inbox-Vertrag auf dem Ethereum-Mainnet. Unter normalen Umständen trägt eine Cross-Chain-Transaktion die Identität ihres Absenders, sodass ein Ethereum-Konto die Standardroute nicht nutzen kann, um auf Arbitrum als ein anderes Konto zu agieren.

Für die Notfallmaßnahme aktualisierte der Council die Inbox mit einer Funktion namens sendUnsignedTransactionOverride. Die Offenlegung beschrieb die Funktion als „die Fähigkeit, den Transaktionssender zu imitieren“. Zwei mit dieser Funktion erstellte Nachrichten benannten die Exploit-Adresse als Absender und wiesen deren ETH und ARB der Halteadresse zu. Anschließend stellte der Council den ursprünglichen Inbox-Code wieder her.

Upgrade, Übertragungen und Wiederherstellung fanden alle innerhalb einer einzigen Ethereum-Transaktion um 00:08:35 UTC statt. Arbitrum One verarbeitete das Ergebnis rund 10 Minuten später, und die ARB-Übertragung wurde um 00:18:20 UTC abgerechnet. Die entsprechende Transaktion ist auf Etherscan verzeichnet, während die entsprechende Arbitrum-Transaktion auf Arbiscan erscheint.

Die Kombination von Upgrade und Wiederherstellung in einer einzigen Transaktion kann die Änderung vor Monitoring-Systemen verbergen, die die Implementierungsadresse der Inbox vor und nach jedem Block vergleichen. Ein solcher Beobachter sähe auf beiden Seiten der Transaktion dieselbe Implementierung. Das Sicherheitsunternehmen Zealynx wies auf dieses Problem in einer technischen Rekonstruktion hin, die über Ethereum Magicians veröffentlicht wurde.

Das Upgrade bleibt in den Upgrade-Events des Vertrags und im Ausführungs-Trace der Transaktion sichtbar. Es wurde keine Kryptografie gebrochen: Der private Schlüssel des Angreifers blieb in dessen Kontrolle, während der Council änderte, welchen Absender das Netzwerk akzeptierte.

Was die ARB-Transaktion verrät

Die ARB-Übertragung selbst ähnelt einer gewöhnlichen Wallet-Transaktion. Die Exploit-Adresse erscheint im „From“-Feld, die Adresse mit der Endung 0DA0 im „To“-Feld. Das entscheidende Detail ist der Transaktionstyp, verzeichnet als 101 oder 0x65. Arbitrum verwendet diesen Typ für eine unsignierte Transaktion, die von Ethereum eingegangen ist.

Die Exploit-Adresse erzeugte keine Signatur, da diese Route keine verlangte. Folglich könnten Tools, die jede ausgehende Übertragung als Entscheidung des Wallet-Besitzers interpretieren, die Bewegung fälschlich dem Angreifer zuschreiben. Wallet-Labeling-Dienste, Compliance-Screening-Systeme und Explorer-Zusammenfassungen könnten alle verzeichnen, dass der Angreifer die Gelder bewegt hat, obwohl der Council die Aktion initiierte.

Aus Sicht des Token-Vertrags erschien das Event ebenfalls gewöhnlich. Zealynx stellte fest, dass der ARB-Vertrag eine Standardübertragung verzeichnete und keinen Unterschied zwischen der Aktion des Councils und einer normalen Übertragung erkennen konnte. Der Transaktionstyp allein ist nicht beweiskräftig, da Ethereum-Konten unsignierte Transaktionen legitimerweise nutzen, um vom Mainnet nach Arbitrum zu gelangen. Die unterscheidenden Beweise sind die Ethereum-Nachricht hinter der Transaktion und ob sich die Inbox-Implementierung innerhalb derselben Transaktion geändert hat.

Derselbe Mechanismus wurde im April verwendet

Die Einfrierung im Zusammenhang mit Binance folgte einem Mechanismus, der am 21. April verwendet wurde, als der Council 30.766 ETH vom KelpDAO-Angreifer übertrug, nachdem dessen rsETH-Bridge-Route angegriffen worden war. Diese Aktion nutzte dieselbe Funktion und dieselbe Halteadresse, wie die Notfallmaßnahmen-Offenlegung vom April zeigt.

Die Befugnis stammt aus der ArbitrumDAO-Verfassung, die dem DAO und dem Security Council Chain-Owner-Privilegien auf Arbitrum One verleiht. Diese Privilegien umfassen die Kontrolle über Kernvertrag-Upgrades und Systemeinstellungen. Neun der 12 Mitglieder des Councils können eine Notfallmaßnahme ohne Verzögerung genehmigen.

Die Verfassung beschränkt diese Befugnis auf genuine Sicherheitsnotfälle und verlangt danach einen Transparenzbericht. ArbitrumDAO kann die Befugnisse auch durch einen Verfassungsvorschlag einschränken oder entfernen.

Stablecoin-Einfrierungen funktionieren auf einer anderen Ebene. Circle und Ripple froren Token, die mit dem Binance-Diebstahl in Verbindung standen, über in ihre jeweiligen Assets eingebaute Kontrollen ein. Coindoo hat berichtet, wie der Angreifer diese Kontrollen umging, indem er ETH gegen gestohlene Stablecoins lieh. ETH hat keinen Herausgeber, der sie auf eine schwarze Liste setzen könnte, aber ETH auf Arbitrum One wird in einem Ledger aufgezeichnet, dessen zugrunde liegendes System der Council aktualisieren kann. Die Offenlegung vom Oktober gibt nicht an, ob die eingefrorene ETH aus diesen Darlehen stammte.

Die April-Aktion löste eine Debatte über den Umfang der Impersonation-Fähigkeit aus. Robby Greenfield von Tokedex schrieb, sie sei „not scoped to recovery“. Delegierter MconnectDAO forderte den Council auf, eine Notfallmaßnahmen-Richtlinie zu veröffentlichen, die definiert, wann er die Governance umgehen darf. Delegierter deakeegroup vertrat die gegenteilige Position und argumentierte, vorautorisierte, eng begrenzte Notfallbefugnisse seien besser als entweder kein Notfallpfad oder uneingeschränkte Admin-Keys ohne Rechenschaftspflicht. Am 11. Oktober fragte ein Teilnehmer derselben Diskussion immer noch, ob die Arbeit an einer solchen Richtlinie begonnen hatte.

Für Inhaber von Assets auf Arbitrum One trennt dieser Vorfall zwei Fragen: Wer kontrolliert den privaten Schlüssel, und wer kann die Regeln ändern, unter denen dieser Schlüssel operiert. Auf Arbitrum One liegt letztere Befugnis bei neun der 12 Signatoren des Councils, gebunden an die Verfassung. Mit Arbitrum-Technologie gebaute Chains beantworten dies separat, da jede Chain eigene Administratoren hat.

Die Freigabe der Gelder erfordert einen weiteren Vote

Die Offenlegung vom Oktober nannte den endgültigen Empfänger nicht. Sie sagte nur, dass ein Governance-Vote erforderlich sei, um die Assets zu bewegen, und dass der Prozess mit relevanten Parteien abgestimmt werde. Die Rückholung im April zeigt ein Beispiel dafür, wie dieser Prozess ablaufen kann.

Am 25. April veröffentlichten Aave Labs, KelpDAO, LayerZero, EtherFi und Compound einen Constitutional AIP. Der Vorschlag benannte ein Recovery-Multisig als Empfänger, verknüpfte die ETH mit der Wiederherstellung der Deckung von rsETH und verpflichtete Aave Labs, die Arbitrum Foundation, Offchain Labs und Council-Mitglieder schadlos zu halten.

Der Vorschlag enthielt den folgenden Zeitplan:

• Forum-Diskussion: eine Woche
• Snapshot-Temperature-Check: eine Woche
• Verzögerung nach Onchain-Einreichung: drei Tage
• Onchain-Vote: 14 Tage, verlängerbar auf 16
• Arbitrum-Wartefrist: acht Tage
• Finalisierung der Arbitrum-zu-Ethereum-Nachricht: typischerweise mindestens eine Woche
• Ethereum-Wartefrist: drei Tage

Die Autoren schätzten, dass der Prozess von der Veröffentlichung bis zur Ausführung etwa 49 Tage dauern würde.

Ein Gericht änderte anschließend den vorgesehenen Empfänger. Die Kläger in Kim v. Democratic People's Republic of Korea, die ein unbeglichenes US-Urteil gegen Nordkorea halten, hatten eine Restraint-Notice an „Arbitrum DAO“ zugestellt. Eine am 8. Mai eingereichte Bundesgerichtsverfügung erlaubte einen Onchain-Vote, um die eingefrorene ETH an eine von Aave LLC kontrollierte Wallet zu senden. Sie band Aave LLC nach Erhalt der Gelder an die Beschränkung und ließ alle anderen Fragen zu den Assets offen.

Der Vorschlag wurde geändert, um Aave LLC als Empfänger zu benennen, und erschien bis zum 26. Mai unter Arbitrums aktiven Onchain-Votes, wie die Governance-Rundschau zeigt. In dieser Debatte schrieb Delegierter DZack23, dass selbst ohne die Diskussions- und Temperature-Check-Phasen mindestens 35 Tage verblieben. Aus seiner Sicht würde die Nutzung einer weiteren Notfallmaßnahme zur Beschleunigung einer Freigabe die Verfassung verletzen, da das Tempo einer Rückholung selbst kein Sicherheitsnotfall ist.

Die Binance-Gelder tragen eine ähnliche Zuschreibung wie die mit dem KelpDAO-ETH verbundenen. TRM Labs und Chainalysis haben den Binance-Diebstahl nordkoreanischen Hackern zugeordnet, wie von BleepingComputer berichtet. Binance hat erklärt, Kundenverluste aus eigenen Mitteln zu decken, womit der Anspruchsteller in diesem Fall eine einzelne Börse ist und nicht das Protokoll-Koalition der April-Rückholung.

Die nächsten Schritte wären in drei Aufzeichnungen sichtbar: ein Freigabevorschlag im Arbitrum-Governance-Forum mit Benennung eines Empfängers, der Transparenzbericht, den die Verfassung für die Oktober-Aktion verlangt, und jede Gerichtseinreichung, die den Kontostand an der 0DA0-Adresse identifiziert, der auf Arbiscan gelistet ist. Arbitrums offener Governance-Call am 3. November war die erste angesetzte Vorschlagsdiskussion seit der Einfrierung. Folgt die Freigabe dem April-Prozess, legt dieser Zeitplan den frühesten Zeitpunkt fest, an dem die Gelder bewegt werden könnten, während eine Restraint-Notice den Empfänger vorher ändern könnte.