De Security Council van Arbitrum heeft circa $30 miljoen aan activa beveiligd die gelinkt zijn aan de Binance-exploit van 29 oktober, waarbij noodbevoegdheden voor upgrades werden gebruikt om fondsen te verplaatsen vanuit een met de aanvaller gelinkt adres zonder diens privésleutel te verkrijgen.

De interventie van 30 oktober, een dag na de exploit uitgevoerd, verplaatste 8.425 ETH en 74,56 miljoen ARB naar een beheeradres onder controle van ArbitrumDAO-governance, zoals gedocumenteerd in een bericht van de Security Council op het Arbitrum-governanceforum. De activa blijven bevroren in plaats van teruggegeven te worden aan Binance, en een DAO-stemming is vereist voordat ze kunnen worden vrijgegeven, waardoor de uiteindelijke bestemming van de fondsen bij ArbitrumDAO-governance ligt en niet bij de raad die de bevriezing uitvoerde. Arbitrum zei dat de fondsen en applicaties van geen andere gebruikers zijn getroffen.

Noodupgrade omzeilt handtekeningvereisten

De raad van twaalf leden heeft goedkeuring van minstens negen leden nodig om noodacties uit te voeren. Die bevoegdheden maken het mogelijk om netwerkcontracten te upgraden zonder te wachten op het normale governanceproces.

Voor deze interventie wijzigde de raad tijdelijk het op Ethereum gebaseerde Inbox-contract van Arbitrum, dat berichten naar het Layer 2-netwerk stuurt. De vervangende code maakte het mogelijk om twee transacties te verwerken alsof ze afkomstig waren van het met de aanvaller gelinkte adres, waarbij diens ETH en ARB naar de beheerwallet werden verplaatst. De oorspronkelijke contractimplementatie werd binnen dezelfde Ethereum-transactie hersteld.

Het beveiligingsbedrijf Zealynx ontdekte dat de resulterende Arbitrum-transacties lege handtekeningvelden bevatten, wat aantoont dat de overboekingen geen handtekeningen van de gerichte wallet vereisten — een mechanisme dat is onderzocht in een discussie op Ethereum Magicians. De interventie leunde op geautoriseerde upgradebevoegdheden in plaats van op het compromitteren van de cryptografische sleutels van de wallet. Het toonde ook aan dat eigendom van een privésleutel geen exclusieve controle over activa op Arbitrum One garandeert wanneer governance de regels voor transactieverwerking kan wijzigen.

De raad gebruikte dezelfde aanpak in april om circa 30.766 ETH te bevriezen die gelinkt waren aan de KelpDAO-exploit. De actie rond Binance markeert de tweede dergelijke interventie dit jaar.

Binance detailleert maandenlange inbraak

Binance meldde op 3 november, vijf dagen na het incident, dat de inbraak ongeveer $6,34 miljard betrof, waarvan $2,85 miljard bevroren of onderschept is, volgens het officiële blogbericht en een bericht op X. De FBI heeft de diefstal toegeschreven aan de TraderTraitor-operatie van Noord-Korea.

De beurs spoorde de campagne terug naar een gemanipuleerde Homebrew-installatie die in juni werd gedownload en een afzonderlijk wervingsfraudegeschil in september dat een andere ingenieur overtuigde om kwaadaardige code te downloaden. Aanvallers gebruikten vervolgens gecompromitteerde apparaten, een intern AI-hulpmiddel en gestolen inloggegevens om toegang te krijgen tot de infrastructuur voor het ondertekenen van wallets.

De overboekingen van 29 oktober omvatten 233,46 miljoen XRP. Op Ethereum maakten kwaadaardige EIP-7702-autorisaties verdere overboekingen mogelijk buiten de normale opnamesystemen van Binance, wat betekent dat het opschorten van klantopnames niet elke uitstroom tegenhield.

Binance zei dat het meer dan voldoende middelen heeft toegewezen om de verliezen op te vangen en dat het 98% van de getroffen tokens heeft aangevuld, terwijl het de minder liquide rest heeft opgekocht. Het herbouwde ook getroffen systemen, verving gecompromitteerde apparaten en trok blootgestelde inloggegevens in. Die vervangingsaankopen staan los van het terugvinden van gestolen activa.

Binance schakelt onafhankelijke cybersecuritybedrijven in om de voorlopige bevindingen te beoordelen, terwijl de fondsen die via de interventie van Arbitrum zijn beveiligd afhankelijk blijven van een governancebesluit. De uitkomst van de DAO-stemming en de resultaten van de onafhankelijke beoordelingen zijn de volgende ontwikkelingen om in de gaten te houden.