Il Security Council di Arbitrum ha messo in sicurezza circa 30 milioni di dollari in asset collegati all'exploit di Binance del 29 ottobre, utilizzando i poteri di upgrade di emergenza per spostare i fondi da un indirizzo collegato all'attaccante senza ottenerne la chiave privata.

L'intervento del 30 ottobre, eseguito un giorno dopo l'exploit, ha spostato 8.425 ETH e 74,56 milioni di ARB verso un indirizzo di custodia controllato tramite la governance di ArbitrumDAO, come documentato in un post del Security Council sul forum di governance di Arbitrum. Gli asset restano congelati anziché restituiti a Binance, ed è necessario un voto DAO prima che possano essere rilasciati, lasciando la destinazione finale dei fondi alla governance di ArbitrumDAO anziché al council che ha effettuato il congelamento. Arbitrum ha dichiarato che i fondi o le applicazioni di nessun altro utente sono stati interessati.

L'upgrade di emergenza aggira i requisiti di firma

Il council composto da 12 membri necessita dell'approvazione di almeno nove membri per eseguire azioni di emergenza. Questi poteri consentono di aggiornare i contratti della rete senza attendere il normale processo di governance.

Per questo intervento, il council ha modificato temporaneamente il contratto Inbox di Arbitrum basato su Ethereum, che trasporta i messaggi nella rete Layer 2. Il codice sostitutivo ha consentito l'elaborazione di due transazioni come se provenissero dall'indirizzo collegato all'attaccante, spostando i suoi ETH e ARB nel wallet di custodia. L'implementazione originale del contratto è stata ripristinata all'interno della stessa transazione Ethereum.

L'azienda di sicurezza Zealynx ha rilevato che le transazioni Arbitrum risultanti contenevano campi firma vuoti, dimostrando che i trasferimenti non richiedevano firme dal wallet bersaglio — un meccanismo esaminato in una discussione su Ethereum Magicians. L'intervento si è basato su poteri di upgrade autorizzati anziché compromettere le chiavi crittografiche del wallet. Ha inoltre dimostrato che il possesso della chiave privata non garantisce il controllo esclusivo sugli asset su Arbitrum One quando la governance può alterare le regole di elaborazione delle transazioni.

Il council ha utilizzato lo stesso approccio in aprile per congelare circa 30.766 ETH collegati all'exploit di KelpDAO. L'azione legata a Binance segna il suo secondo intervento di questo tipo quest'anno.

Binance descrive un'intruzione durata mesi

Binance ha dichiarato il 3 novembre, cinque giorni dopo l'incidente, che la breccia ha riguardato circa 6,34 miliardi di dollari, di cui 2,85 miliardi congelati o intercettati, secondo il suo post ufficiale sul blog e un post su X. L'FBI ha attribuito il furto all'operazione TraderTraitor della Corea del Nord.

L'exchange ha fatto risalire la campagna a un'installazione di Homebrew manomessa scaricata a giugno e a una truffa di reclutamento a settembre che ha persuaso un altro ingegnere a scaricare codice dannoso. Gli attaccanti hanno successivamente utilizzato dispositivi compromessi, uno strumento AI interno e credenziali rubate per raggiungere l'infrastruttura di firma dei wallet.

I trasferimenti del 29 ottobre includevano 233,46 milioni di XRP. Su Ethereum, autorizzazioni EIP-7702 dannose hanno consentito ulteriori trasferimenti al di fuori dei normali sistemi di prelievo di Binance, il che significa che la sospensione dei prelievi dei clienti non ha bloccato ogni deflusso.

Binance ha dichiarato di aver stanziato fondi più che sufficienti per assorbire le perdite e ha integrato il 98% dei token interessati, acquistando la parte meno liquida restante. Ha inoltre ricostruito i sistemi interessati, sostituito i dispositivi compromessi e revocato le credenziali esposte. Questi acquisti sostitutivi sono separati dal recupero degli asset rubati.

Binance sta coinvolgendo aziende di cybersecurity indipendenti per esaminare i suoi risultati preliminari, mentre i fondi messi in sicurezza tramite l'intervento di Arbitrum restano soggetti a una decisione di governance. L'esito del voto DAO e i risultati delle revisioni indipendenti sono i prossimi sviluppi da monitorare.