De Arbitrum Security Council heeft 8.425 ETH en 74,6 miljoen ARB verplaatst van een wallet die gelinkt is aan een exploit naar een adres eindigend op 0DA0, tijdens een noodactie op 30 oktober. De operatie gebruikte een Inbox-override waarmee het netwerk transacties accepteerde die van de exploitant leken te komen, zonder gebruik van de privésleutel van de exploitant.

Volgens de noodactie-openbaarmaking van de Security Council werd de actie uitgevoerd om 8:08 uur Hongkongse tijd. De council verklaarde dat de fondsen of applicaties van geen enkele andere gebruiker zijn getroffen. Persschattingen waardeerden de bevroren activa op bijna 30 miljoen dollar, tegenover circa 6,3 miljard dollar dat Binance zegt te hebben zien opgenomen uit zijn wallets.

De fondsen kunnen het 0DA0-adres alleen verlaten via een governance stemming van ArbitrumDAO. Bij de actie waren dus drie aparte bevoegdheden betrokken: de council kon geen transacties ondertekenen voor de wallet van de exploitant, maar kon wel veranderen hoe Arbitrum One transacties accepteert. De beslissing over wie de activa uiteindelijk ontvangt, ligt bij de DAO en, zoals een eerdere freeze liet zien, mogelijk ook bij een Amerikaanse rechtbank.

Hoe de Inbox-override werkte

Berichten van Ethereum bereiken Arbitrum One via het Inbox-contract op Ethereum mainnet. Onder normale omstandigheden draagt een cross-chain transactie de identiteit van de afzender, waardoor één Ethereum-account de standaardroute niet kan gebruiken om op Arbitrum als een ander account op te treden.

Voor de noodactie upgradde de council de Inbox met een functie genaamd sendUnsignedTransactionOverride. De openbaarmaking beschreef de functie als het toevoegen van "de mogelijkheid om zich voor te doen als de transactieafzender." Twee met die functie gemaakte berichten benoemden het exploitadres als afzender en stuurden diens ETH en ARB naar het bewaaradres. Vervolgens zette de council de oorspronkelijke Inbox-code terug.

De upgrade, de transfers en het herstel vonden allemaal plaats binnen één Ethereum-transactie om 00:08:35 UTC. Arbitrum One verwerkte het resultaat circa tien minuten later, en de ARB-transfer werd afgewikkeld om 00:18:20 UTC. De betreffende transactie staat geregistreerd op Etherscan, terwijl de bijbehorende Arbitrum-transactie te zien is op Arbiscan.

Het combineren van de upgrade en het herstel in één transactie kan de wijziging verbergen voor monitoringsystemen die het implementatieadres van de Inbox vóór en na elk blok vergelijken. Zo'n waarnemer zou aan beide zijden van de transactie dezelfde implementatie zien. Beveiligingsbedrijf Zealynx wees op dit probleem in een technische reconstructie die is gepubliceerd via Ethereum Magicians.

De upgrade blijft zichtbaar in de upgrade-events van het contract en in de execution trace van de transactie. Er is geen cryptografie gebroken: de privésleutel van de aanvaller bleef onder controle van de aanvaller, terwijl de council veranderde welke afzender het netwerk zou accepteren.

Wat de ARB-transactie onthult

De ARB-transfer zelf lijkt op een gewone wallet-transactie. Het exploitadres staat in het "from"-veld en het adres eindigend op 0DA0 in het "to"-veld. De opvallende details zitten in het transactietype, geregistreerd als 101, of 0x65. Arbitrum gebruikt dat type voor een niet-ondertekende transactie die van Ethereum afkomstig is.

Het exploitadres produceerde geen handtekening omdat deze route er geen vereiste. Daardoor kunnen tools die elke uitgaande transfer interpreteren als een beslissing van de wallet-eigenaar de verplaatsing onterecht aan de exploitant toeschrijven. Wallet-labelingdiensten, compliance-screeningsystemen en explorer-samenvattingen zouden allemaal kunnen registreren dat de exploitant de fondsen heeft verplaatst, hoewel de council de actie initieerde.

Ook vanuit het perspectief van het token-contract leek het event gewoon. Zealynx merkte op dat het ARB-contract een standaard transfer registreerde en geen manier had om de actie van de council te onderscheiden van een normale transfer. Het transactietype alleen is niet doorslaggevend, omdat Ethereum-accounts terecht niet-ondertekende transacties gebruiken om vanaf mainnet Arbitrum te bereiken. Het onderscheidende bewijs is het Ethereum-bericht achter de transactie en of de Inbox-implementatie binnen diezelfde transactie is gewijzigd.

Hetzelfde mechanisme werd in april gebruikt

De freeze rond Binance volgde een mechanisme dat op 21 april werd gebruikt, toen de council 30.766 ETH overbracht van de KelpDAO-exploitant na een aanval op de rsETH-bridgeroute van KelpDAO. Die actie gebruikte dezelfde functie en hetzelfde bewaaradres, volgens de april-openbaarmaking van de noodactie.

De bevoegdheid komt voort uit de ArbitrumDAO-grondwet, die de DAO en de Security Council chain-owner privileges geeft op Arbitrum One. Die privileges omvatten controle over core contract upgrades en systeeminstellingen. Negen van de twaalf leden van de council kunnen een noodactie zonder vertraging goedkeuren.

De grondwet beperkt die bevoegdheid tot echte security-noodsituaties en vereist daarna een transparantierapport. ArbitrumDAO kan de bevoegdheden ook beperken of intrekken via een constitutioneel voorstel.

Stablecoin-freezes werken op een ander niveau. Circle en Ripple bevrozen tokens die verbonden zijn met de Binance-diefstal met behulp van controles die in hun eigen activa zijn ingebouwd. Coindoo heeft verslag gedaan van hoe de aanvaller die controles omzeilde door ETH te lenen tegen gestolen stablecoins. ETH heeft geen uitgever die het op een blacklist kan zetten, maar ETH op Arbitrum One staat in een administratie waarvan het onderliggende systeem de council kan upgraden. De openbaarmaking van oktober vermeldt niet of de bevroren ETH uit die leningen afkomstig was.

De aprilactie leidde tot discussie over de reikwijdte van de impersonation-mogelijkheid. Robby Greenfield van Todesk schreef dat deze "not scoped to recovery" was. Afgevaardigde MconnectDAO vroeg de council om een noodactiebeleid te publiceren dat definieert wanneer governance kan worden omzeild. Afgevaardigde deakeegroup nam het tegenovergestelde standpunt in en betoogde dat vooraf geautoriseerde, nauw afgebakende noodbevoegdheden te verkiezen zijn boven het ontbreken van een noodroute of het vertrouwen op onbeperkte administratieve sleutels zonder verantwoording. Op 11 oktober stelde een deelnemer aan dezelfde discussie nog steeds de vraag of er aan een dergelijk beleid werd gewerkt.

Voor houders van activa op Arbitrum One splitst deze episode twee vragen: wie controleert de privésleutel, en wie kan de regels veranderen waaronder die sleutel werkt. Op Arbitrum One ligt die laatste bevoegdheid bij negen van de twaalf council-ondertekenaars, begrensd door de grondwet. Chains gebouwd met Arbitrum-technologie hebben aparte antwoorden, omdat elke chain zijn eigen beheerders heeft.

Het verplaatsen van de fondsen vereist een nieuwe stemming

De openbaarmaking van oktober identificeerde de uiteindelijke ontvanger niet. Er werd alleen gezegd dat een governance stemming nodig is om de activa te verplaatsen en dat het proces wordt gecoördineerd met relevante partijen. De terugvordering van april geeft een voorbeeld van hoe dat proces kan verlopen.

Op 25 april publiceerden Aave Labs, KelpDAO, LayerZero, EtherFi en Compound een Constitutioneel AIP. Het voorstel benoemde een recovery multisig als ontvanger, koppelde de ETH aan het herstel van de dekking van rsETH en verbond Aave Labs om de Arbitrum Foundation, Offchain Labs en council-leden te vrijwaren.

Het voorstel gaf het volgende schema:

• Forumdiscussie: één week
• Snapshot temperatuurcheck: één week
• Wachttijd na onchain indiening: drie dagen
• Onchain stemming: 14 dagen, verlengbaar naar 16
• Arbitrum-wachttijd: acht dagen
• Definitieve afwikkeling van het Arbitrum-naar-Ethereum bericht: doorgaans ten minste één week
• Ethereum-wachttijd: drie dagen

De auteurs schatten dat het proces ongeveer 49 dagen zou duren van publicatie tot uitvoering.

Een rechtbank veranderde vervolgens de voorgestelde ontvanger. Eisers in Kim v. Democratic People's Republic of Korea, die een niet-verzakte Amerikaanse vordering tegen Noord-Korea hebben, hadden een restraining notice betekend aan "Arbitrum DAO." Een federale bevel dat op 8 mei is ingediend stond een onchain stemming toe om de bevroren ETH naar een wallet onder controle van Aave LLC te sturen. Het verbond Aave LLC ook aan de restraint zodra het de fondsen ontving enreserveerde alle overige vragen over de activa.

Het voorstel werd gewijzigd om Aave LLC als ontvanger te benoemen en verscheen tegen 26 mei bij Arbitrum's actieve onchain stemmingen, volgens de governance-roundup. Tijdens dat debat schreef afgevaardigde DZack23 dat zelfs het schrappen van de discussie- en temperatuurcheck-fases ten minste 35 dagen zou kosten. Naar zijn mening zou het gebruiken van een andere noodactie om een vrijgave te versnellen de grondwet schenden, omdat de snelheid van een terugvordering op zich geen security-noodsituatie is.

De Binance-fondsen dragen een toeschrijving vergelijkbaar met die van de KelpDAO-ETH. TRM Labs en Chainalysis hebben de Binance-diefstal gekoppeld aan Noord-Koreaanse hackers, zoals gerapporteerd door BleepingComputer. Binance heeft gezegd de klantverliezen uit eigen middelen te dekken, waardoor de claimant in dit geval één beurs is in plaats van de coalitie van protocollen die bij de april-terugvordering betrokken was.

De volgende stappen zullen zichtbaar zijn in drie registraties: een vrijgavevoorstel op het Arbitrum governance forum met daarin een ontvanger, het transparantierapport dat de grondwet vereist voor de oktoberactie, en elke rechtszaakstukken dat het saldo op het 0DA0-adres noemt, dat vermeld staat op Arbiscan. Arbitrum's open governance call van 3 november was de eerste geplande voorsteldiscussie sinds de freeze. Als de vrijgave de april-route volgt, bepaalt dat schema het vroegste moment waarop de fondsen kunnen worden verplaatst, terwijl een restraining notice de ontvanger tot die tijd kan wijzigen.