Binance a déposé une proposition constitutionnelle sur le forum de gouvernance d'Arbitrum demandant aux détenteurs de tokens de libérer environ 8 426 ETH et 74,6 millions d'ARB vers une adresse de récupération contrôlée par la plateforme. Les actifs ont été gelés sur Arbitrum après l'attaque du 29 octobre contre les hot wallets connectés à internet de l'entreprise.

Publiée le 5 novembre, la proposition devrait prendre environ 49 jours, bien que Binance ait précisé que ce calendrier pourrait s'allonger si une action en justice visant les actifs devait d'abord être résolue. Rien n'a encore été approuvé. Selon le calendrier proposé par la plateforme, la prochaine étape est un vote consultatif non contraignant sur Snapshot, la plateforme de vote hors chaîne, après une semaine de discussion sur le forum.

Une petite part d'un vol de 6,3 milliards de dollars

Les cryptomonnaies ont été volées lors de l'attaque du 29 octobre contre les hot wallets de Binance, une intrusion que la plateforme estime à environ 6,3 milliards de dollars — le plus important vol de cryptomonnaies jamais enregistré. Deux jours plus tard, le FBI a attribué le piratage à la Corée du Nord et a désigné TraderTraitor, le groupe qu'il impute également au piratage de 1,5 milliard de dollars de Bybit.

Le Security Council d'Arbitrum a agi en quelques heures. À 8 h 08, heure de Hong Kong, le 30 octobre — soit environ quatre heures après le début des sorties de fonds selon Binance — le conseil a transféré les avoirs de l'attaquant sur Arbitrum vers une adresse de détention qu'un seul vote de l'ArbitrumDAO peut débloquer, selon sa divulgation d'action d'urgence. Coindoo avait précédemment rapporté comment le conseil avait immobilisé les cryptomonnaies du pirate sans jamais détenir sa clé privée. Le butin gelé valait environ 30 millions de dollars à l'époque, soit moins d'un demi pour cent des pertes estimées par Binance.

Binance a déjà racheté les cryptomonnaies

Les clients de Binance n'attendent pas ce vote. Dans sa mise à jour de récupération du 4 novembre, la plateforme a indiqué avoir mis de côté plus de 100 % des fonds nécessaires sur ses propres ressources. Environ 98 % du montant volé avaient déjà été reconstitués par des achats sur les marchés et via des canaux de gré à gré, les 2 % restants étant constitués de tokens moins liquides dont l'acquisition prend plus de temps.

Cela change la finalité des ETH et ARB gelés. Le résumé de la proposition indique que les fonds libérés aideraient à indemniser les utilisateurs concernés, mais sa section « Use of Funds » est plus précise : là où Binance a déjà couvert les pertes des utilisateurs, elle peut se subroger dans les droits de ces derniers sur les actifs volés. Les cryptomonnaies restituées serviraient ensuite à couvrir les pertes et coûts de l'incident, notamment le réapprovisionnement du fonds SAFU — la réserve d'assurance d'urgence de la plateforme — ou des réserves de trésorerie mobilisées par Binance. La quasi-totalité du montant volé ayant déjà été remplacée par des fonds de l'entreprise, une libération réussie rembourserait en pratique en grande partie Binance pour une dépense déjà effectuée.

Pourquoi remplacer les cryptomonnaies vaut mieux que remplacer des dollars

En choisissant de racheter des tokens plutôt que de créditer les clients en espèces, Binance a pris le risque de prix sur ses propres livres. Les soldes des clients sont dus en cryptomonnaies, et une réserve fixée aux valeurs en dollars au moment du vol ne comble l'écart que si les prix restent stables pendant que la plateforme rachète.

Une hypothèse illustre l'ampleur de cette exposition. Si l'ETH avait augmenté de 20 % entre le vol et le rachat, une somme fixée à la valeur initiale ne permettrait de racheter qu'environ 83 % des cryptomonnaies manquantes. Une baisse de 20 % produirait l'effet inverse et laisserait un excédent.

Les actifs gelés seraient restitués en nature : les mêmes 8 426 ETH et 74,6 millions d'ARB, quelle que soit leur valeur en dollar au jour de la livraison. D'ici là, Binance porte le risque de marché sur cette part. Le moment de la restitution dépend de deux horloges distinctes : le calendrier de gouvernance d'Arbitrum et les tribunaux.

D'où viennent les 49 jours

L'horloge de gouvernance est fixée par la constitution de la DAO Arbitrum. L'estimation de Binance suit le cycle de vie complet d'une proposition constitutionnelle — la même séquence que la proposition de libération de Kelp DAO avait détaillée étape par étape en avril.

Binance a conservé les deux étapes précoces facultatives, que la constitution recommande sans les exiger. Leur suppression laisserait néanmoins un minimum d'environ 35 jours, car le vote on-chain et les délais d'attente qui suivent ne peuvent être ignorés. Le délégué dzack23 a fait ce calcul lorsque les détenteurs de tokens ont poussé à accélérer la libération de Kelp. Le même délégué a soutenu que recourir aux pouvoirs d'urgence du conseil pour accélérer un remboursement violerait la constitution, une récupération lente ne constituant pas une urgence de sécurité.

La libération de Kelp en avril montre d'où viennent les retards

L'affaire Kelp est aussi le guide le plus clair de la seconde horloge. Après l'exploit du pont de Kelp DAO le 18 avril, le conseil a gelé environ 30 766 ETH, et Aave Labs a dirigé une proposition visant à orienter les fonds vers un effort de récupération pour les détenteurs concernés de rsETH, le token de liquid restaking de Kelp. Alors que les délégués débattaient encore, des avocats représentant des familles titulaires de jugements pour actes de terrorisme non payés contre la Corée du Nord ont notifié à l'Arbitrum DAO une injonction de New York via le forum le 1er mai. Ils soutenaient que les ETH comptaient comme des biens nord-coréens car LayerZero avait attribué le piratage au groupe Lazarus, l'unité de piratage liée à la Corée du Nord.

Les délégués ont approuvé la libération avec environ 91 % du pouvoir de vote, et le 9 mai, un juge fédéral de Manhattan a modifié l'injonction afin que les ETH puissent être transférés à Aave, a rapporté The Block. Ce compromis a eu un coût : Aave a accepté d'être liée par l'injonction comme si elle lui avait été directement notifiée, les créances des créanciers ont suivi les cryptomonnaies, et le tribunal a réservé sa décision sur les questions restantes. Aave avait soutenu qu'un voleur n'acquiert pas la propriété d'un bien simplement en le volant.

Binance arrive avec une version plus solide de la même prémisse. En avril, le lien avec la Corée du Nord reposait sur l'attribution d'un protocole ; cette fois, il émane du FBI. Aucune injonction n'avait été publiée dans le fil de discussion de Binance au moment de la rédaction. Sa seule réponse, du délégué Zeptimus, qualifiait la restitution des fonds à leur propriétaire de « la bonne chose à faire ».

Binance a inscrit le compromis d'avril dans ses conditions

La proposition semble rédigée avec ce litige en ligne de mire. Elle note que des tiers ont précédemment revendiqué des actifs gelés sur Arbitrum One au motif qu'ils appartiendraient à celui qui est tenu pour responsable d'un exploit. Binance affirme que les cryptomonnaies gelées remontent à des actifs pris dans des portefeuilles qu'elle possédait ou contrôlait, et qu'à sa connaissance, personne d'autre n'a d'intérêt sur ceux-ci. Dans l'éventualité où un tribunal en jugerait autrement, Binance accepte d'avance ces conditions :

• La proposition reste hors chaîne et aucune cryptomonnaie n'est livrée tant qu'une injonction ou une ordonnance judiciaire est en vigueur, sauf si un tribunal la modifie ou la lève. Binance paie pour obtenir cette levée.
• Binance traite toute telle procédure judiciaire comme si elle avait été directement notifiée à Binance.
• Les cryptomonnaies livrées restent à l'adresse de récupération, intactes et non mélangées à d'autres fonds, jusqu'à la fin de la procédure.
• Binance défend toute réclamation à ses propres frais et remet les actifs, ou leur valeur, à celui qu'un tribunal juge finalement en droit d'en disposer.

La première condition signifie que les délégués ne seraient pas invités à exécuter un transfert tant qu'une injonction est active — la situation dans laquelle Arbitrum s'est trouvé en avril. La seconde reprend la clause qu'Aave a acceptée pour faire aboutir sa libération devant la justice. Ici, Binance l'accepte avant même qu'un dossier ne soit déposé.

Qui couvre Arbitrum si la libération est contestée

L'autre moitié du dispositif juridique protège le côté Arbitrum de la transaction. Les entités de Binance à Abu Dhabi Global Market, menées par Nest Exchange Limited, indemnisaient l'Arbitrum Foundation, Offchain Labs et chaque membre du Security Council contre les réclamations liées au gel et à la libération. L'indemnisation est sans plafond et régie par le droit de New York. Binance doit signer les accords avant que la proposition ne passe on-chain, alors que la version d'avril d'Aave n'était due qu'après l'adoption du vote.

L'indemnisation de Binance va aussi plus loin que celle d'Aave. Elle couvre tout retard ou refus de livrer les cryptomonnaies, ainsi que toute conformité à une ordonnance judiciaire, y compris un transfert des actifs gelés à une personne autre que Binance. Binance prendrait donc en charge les frais juridiques d'Arbitrum même dans le scénario où un tribunal enverrait les cryptomonnaies ailleurs.

Les délégués qui votent bénéficient d'une protection plus mince. Comme en avril, ils ne sont protégés qu'indirectement : Binance rembourserait à la Foundation les paiements aux délégués issus du produit d'assurance captive d'Arbitrum, qui couvre les réclamations découlant de la participation à la gouvernance de la DAO. Les délégués s'étaient opposés à cette structure lors du débat sur Kelp. L'un d'eux, TodayInDeFi, avait souligné que la protection des délégués était limitée par le plafond agrégé de 10 millions de dollars du produit, sans solution de repli en cas de non-paiement. La proposition de Binance laisse ce dispositif inchangé.

Ce qui décidera qui finit par payer

Trois signaux jalonnent la voie à suivre. Le premier est le vote consultatif sur Snapshot, qui, selon le calendrier de Binance, fait suite à une semaine de discussion sur le forum. Le deuxième est toute injonction ou action en justice visant les ETH et ARB gelés, qui, selon les propres termes de Binance, suspendrait l'étape on-chain jusqu'à ce qu'un juge statue. Le troisième est la question de savoir si les délégués exigeront à nouveau une indemnisation directe avant le vote on-chain.

La question de savoir qui paie est déjà en grande partie réglée. Binance a couvert le vol avec des fonds de l'entreprise. Ces cryptomonnaies gelées déterminent la part de ce coût qu'elle pourra récupérer auprès de cette seule source — et un tribunal, plutôt que la DAO, pourrait encore avoir le dernier mot sur leur destination.

Source : Coindoo