El Consejo de Seguridad de Arbitrum ha asegurado aproximadamente USD 30 millones en activos vinculados al exploit de Binance del 29 de octubre, utilizando poderes de actualización de emergencia para mover los fondos fuera de una dirección vinculada al atacante sin obtener su clave privada.

La intervención del 30 de octubre, ejecutada un día después del exploit, trasladó 8,425 ETH y 74.56 millones de ARB hacia una dirección de custodia controlada mediante la gobernanza de ArbitrumDAO, según lo documentado en una publicación del Consejo de Seguridad en el foro de gobernanza de Arbitrum. Los activos permanecen congelados en lugar de ser devueltos a Binance, y se requiere una votación de la DAO antes de que puedan ser liberados, dejando la disposición final de los fondos en manos de la gobernanza de ArbitrumDAO en lugar del consejo que llevó a cabo el congelamiento. Arbitrum afirmó que los fondos o aplicaciones de otros usuarios no fueron afectados.

La actualización de emergencia anula los requisitos de firma

El consejo de 12 miembros necesita la aprobación de al menos nueve miembros para ejecutar acciones de emergencia. Esos poderes le permiten actualizar los contratos de la red sin esperar el proceso de gobernanza normal.

Para esta intervención, el consejo modificó temporalmente el contrato Inbox de Arbitrum basado en Ethereum, que transporta mensajes hacia la red de Capa 2. El código de reemplazo permitió que dos transacciones se procesaran como si provinieran de la dirección vinculada al atacante, moviendo sus ETH y ARB hacia la wallet de custodia. La implementación original del contrato fue restaurada dentro de la misma transacción de Ethereum.

La firma de seguridad Zealynx encontró que las transacciones resultantes de Arbitrum contenían campos de firma vacíos, lo que demuestra que las transferencias no requerían firmas de la wallet objetivo — un mecanismo analizado en una discusión de Ethereum Magicians. La intervención se basó en poderes de actualización autorizados en lugar de comprometer las claves criptográficas de la wallet. También demostró que la posesión de la clave privada no garantiza el control exclusivo sobre los activos en Arbitrum One cuando la gobernanza puede alterar las reglas de procesamiento de transacciones.

El consejo utilizó el mismo enfoque en abril para congelar aproximadamente 30,766 ETH vinculados al exploit de KelpDAO. La acción relacionada con Binance marca su segunda intervención de este tipo en lo que va del año.

Binance detalla una intrusión de varios meses

Binance informó el 3 de noviembre, cinco días después del incidente, que el ataque afectó aproximadamente USD 6,340 millones, con USD 2,850 millones congelados o interceptados, según su publicación oficial en el blog y una publicación en X. El FBI ha atribuido el robo a la operación TraderTraitor de Corea del Norte.

El exchange rastreó la campaña hasta una instalación de Homebrew alterada descargada en junio y una estafa de reclutamiento en septiembre que convenció a otro ingeniero de descargar código malicioso. Posteriormente, los atacantes utilizaron dispositivos comprometidos, una herramienta interna de IA y credenciales robadas para acceder a la infraestructura de firma de wallets.

Las transferencias del 29 de octubre incluyeron 233.46 millones de XRP. En Ethereum, autorizaciones maliciosas de EIP-7702 permitieron transferencias adicionales fuera de los sistemas normales de retiro de Binance, lo que significa que suspender los retiros de clientes no detuvo todas las salidas.

Binance afirmó que había asignado fondos más que suficientes para absorber las pérdidas y ha repuesto el 98% de los tokens afectados, mientras compra el resto menos líquido. También reconstruyó los sistemas afectados, reemplazó los dispositivos comprometidos y revocó las credenciales expuestas. Esas compras de reemplazo son independientes de la recuperación de los activos robados.

Binance está contratando firmas independientes de ciberseguridad para revisar sus hallazgos preliminares, mientras que los fondos asegurados mediante la intervención de Arbitrum siguen sujetos a una decisión de gobernanza. El resultado de la votación de la DAO y los resultados de las revisiones independientes son los próximos desarrollos a seguir.