Arbitrumのセキュリティカウンシルは、秘密鍵を取得することなく攻撃者に関連するアドレスから資金を移動させる緊急アップグレード権限を行使し、10月29日のBinanceエクスプロイトに関連する約3,000万ドルの資産を確保しました。

10月30日、エクスプロイトの翌日に実行されたこの介入では、8,425 ETHと7,456万ARBが、ArbitrumDAOのガバナンス管理下にある保管アドレスへ移動されました。この詳細はArbitrumガバナンスフォーラムでのセキュリティカウンシルの投稿で確認できます。資産はBinanceに返還されるのではなく凍結されたままとなっており、解放にはDAO投票が必要で、資金の最終的な処分は凍結を実行したカウンシルではなくArbitrumDAOのガバナンスに委ねられています。Arbitrumは、他のユーザーの資金やアプリケーションへの影響はなかったと述べています。

緊急アップグレードが署名要件を上書き

12人で構成されるカウンシルが緊急措置を実行するには、少なくとも9人の承認が必要です。この権限により、通常のガバナンスプロセスを待たずにネットワークのコントラクトをアップグレードできます。

今回の介入で、カウンシルはLayer 2ネットワークにメッセージを伝達するArbitrumのEthereumベースのInboxコントラクトを一時的に変更しました。置き換えられたコードにより、2つのトランザクションが攻撃者関連アドレスから発信されたものとして処理され、そのETHとARBが保管ウォレットへ移動されました。元のコントラクト実装は同一のEthereumトランザクション内で復元されました。

セキュリティ企業Zealynxの調査によると、結果として生じたArbiturmのトランザクションには空の署名フィールドが含まれており、この移転には対象ウォレットの署名が不要であったことが示されています。この仕組みはEthereum Magiciansのディスカッションでも検証されています。この介入は、ウォレットの暗号鍵を侵害するのではなく、認可されたアップグレード権限に依拠したものです。また、ガバナンスがトランザクション処理ルールを変更できる場合、秘密鍵の所有だけではArbitrum One上の資産に対する排他的な管理権は保証されないことも実証しました。

カウンシルは4月にも同様の手法を用い、KelpDAOエクスプロイトに関連する約30,766 ETHを凍結しました。今回のBinance関連の措置は、今年に入ってから2回目の介入となります。

Binance、数か月に及ぶ侵入の詳細を公表

Binanceは事件から5日後の11月3日、公式ブログ記事およびXへの投稿において、今回の侵害により約63.4億ドルが影響を受け、28.5億ドルが凍結または傍受されたと発表しました。FBIはこの窃盗を北朝鮮のTraderTraitor作戦によるものと特定しています。

同取引所は、この攻撃キャンペーンが6月にダウンロードされた改ざんされたHomebrewインストールと、9月に別のエンジニアを巧みに誘導して悪意のあるコードをダウンロードさせたリクルート詐欺に起因することを突き止めました。攻撃者はその後、侵害されたデバイス、内部のAIツール、盗まれた認証情報を悪用してウォレット署名インフラに到達しました。

10月29日の移送には2億3,346万XRPが含まれていました。Ethereum上では、悪意のあるEIP-7702認可により、Binanceの通常の出金システムを経由しない追加の移送が可能となり、顧客の出金を停止してもすべての資金流出を止めることはできませんでした。

Binanceは、損失を吸収するための十分な資金を確保しており、影響を受けたトークンの98%を補充し、流動性の低い残りについては買い戻しを行ったと述べています。また、影響を受けたシステムの再構築、侵害されたデバイスの交換、漏洩した認証情報の失効も実施しました。これらの代替購入は、盗まれた資産の回収とは別の取り組みです。

Binanceは独立系サイバーセキュリティ企業に予備調査結果の精査を委ねており、Arbitrumの介入を通じて確保された資金はガバナンスの決定を待つ状態にあります。DAO投票の結果と独立調査の結果が、今後注目すべき展開となります。