Le Conseil de sécurité d'Arbitrum a sécurisé environ 30 millions de dollars d'actifs liés à l'exploitation de Binance du 29 octobre, en utilisant ses pouvoirs de mise à niveau d'urgence pour transférer les fonds hors d'une adresse liée à l'attaquant sans obtenir sa clé privée.

L'intervention du 30 octobre, exécutée un jour après l'exploitation, a déplacé 8 425 ETH et 74,56 millions d'ARB vers une adresse de dépôt contrôlée par la gouvernance d'ArbitrumDAO, comme documenté dans un post du Conseil de sécurité sur le forum de gouvernance d'Arbitrum. Les actifs restent gelés plutôt que restitués à Binance, et un vote de la DAO est requis avant leur libération, laissant la destination finale des fonds à la gouvernance d'ArbitrumDAO plutôt qu'au conseil qui a effectué le gel. Arbitrum a indiqué que les fonds ou les applications d'aucun autre utilisateur n'avaient été affectés.

La mise à niveau d'urgence outrepasse les exigences de signature

Le conseil de 12 membres nécessite l'approbation d'au moins neuf membres pour exécuter des actions d'urgence. Ces pouvoirs lui permettent de mettre à niveau les contrats du réseau sans attendre le processus de gouvernance normal.

Pour cette intervention, le conseil a temporairement modifié le contrat Inbox d'Arbitrum basé sur Ethereum, qui achemine les messages vers le réseau Layer 2. Le code de remplacement a permis de traiter deux transactions comme si elles provenaient de l'adresse liée à l'attaquant, transférant ses ETH et ARB vers le portefeuille de dépôt. L'implémentation originale du contrat a été restaurée dans la même transaction Ethereum.

La société de sécurité Zealynx a constaté que les transactions Arbitrum résultantes contenaient des champs de signature vides, démontrant que les transferts ne nécessitaient pas de signatures du portefeuille ciblé — un mécanisme examiné dans une discussion sur Ethereum Magicians. L'intervention s'est appuyée sur des pouvoirs de mise à niveau autorisés plutôt que sur la compromission des clés cryptographiques du portefeuille. Elle a également démontré que la possession de la clé privée ne garantit pas un contrôle exclusif des actifs sur Arbitrum One lorsque la gouvernance peut modifier les règles de traitement des transactions.

Le conseil a utilisé la même approche en avril pour geler environ 30 766 ETH liés à l'exploitation de KelpDAO. L'action liée à Binance constitue sa deuxième intervention de ce type cette année.

Binance détaille une intrusion de plusieurs mois

Binance a déclaré le 3 novembre, cinq jours après l'incident, que la violation affectait environ 6,34 milliards de dollars, dont 2,85 milliards gelés ou interceptés, selon son article officiel sur son blog et un post sur X. Le FBI a attribué le vol à l'opération TraderTraitor de la Corée du Nord.

La plateforme a retracé la campagne jusqu'à une installation de Homebrew falsifiée téléchargée en juin et une arnaque de recrutement distincte en septembre qui a persuadé un autre ingénieur de télécharger du code malveillant. Les attaquants ont ensuite utilisé des appareils compromis, un outil d'IA interne et des identifiants volés pour accéder à l'infrastructure de signature de portefeuille.

Les transferts du 29 octobre comprenaient 233,46 millions de XRP. Sur Ethereum, des autorisations malveillantes EIP-7702 ont permis d'autres transferts en dehors des systèmes de retrait habituels de Binance, ce qui signifie que la suspension des retraits clients n'a pas arrêté tous les flux sortants.

Binance a déclaré avoir alloué plus que suffisamment de fonds pour absorber les pertes et avoir reconstitué 98 % des jetons affectés, tout en achetant le reste, moins liquide. Elle a également reconstruit les systèmes affectés, remplacé les appareils compromis et révoqué les identifiants exposés. Ces achats de remplacement sont distincts de la récupération des actifs volés.

Binance fait appel à des entreprises indépendantes de cybersécurité pour examiner ses conclusions préliminaires, tandis que les fonds sécurisés par l'intervention d'Arbitrum restent soumis à une décision de gouvernance. L'issue du vote de la DAO et les résultats des examens indépendants sont les prochains développements à surveiller.