Rada Bezpieczeństwa Arbitrum zabezpieczyła około 30 milionów dolarów w aktywach powiązanych z eksploitem na Binance z 29 października, wykorzystując uprawnienia awaryjnej aktualizacji do przeniesienia środków z adresu powiązanego z atakującym bez uzyskania jego klucza prywatnego.

Interwencja z 30 października, przeprowadzona jeden dzień po eksploicie, przeniosła 8425 ETH i 74,56 miliona ARB na adres depozytowy kontrolowany przez ArbitrumDAO, co zostało udokumentowane w poście Rady Bezpieczeństwa na forum zarządzania Arbitrum. Aktywa pozostają zamrożone, a nie zwrócone Binance — do ich uwolnienia wymagane jest głosowanie DAO, co oznacza, że ostateczny los środków zależy od zarządzania ArbitrumDAO, a nie od rady, która przeprowadziła zamrożenie. Arbitrum poinformowało, że środki innych użytkowników ani aplikacje nie zostały dotknięte.

Awaryjna aktualizacja omija wymóg podpisów

Dwunastoosobowa rada wymaga zatwierdzenia przez co najmniej dziewięciu członków, aby wykonać działania awaryjne. Te uprawnienia pozwalają jej aktualizować kontrakty sieci bez czekania na standardowy proces zarządzania.

W tej interwencji rada tymczasowo zmieniła oparty na Ethereum kontrakt Inbox w Arbitrum, który przekazuje komunikaty do sieci Layer 2. Zastępczy kod umożliwiał przetworzenie dwóch transakcji tak, jakby pochodziły z adresu powiązanego z atakującym, przenosząc jego ETH i ARB do portfela depozytowego. Oryginalna implementacja kontraktu została przywrócona w ramach tej samej transakcji Ethereum.

Firma bezpieczeństwa Zealynx ustaliła, że powstałe transakcje Arbitrum zawierały puste pola podpisów, co wykazuje, że transfery nie wymagały podpisów z docelowego portfela — mechanizm ten został zbadany w dyskusji na Ethereum Magicians. Interwencja opierała się na uprawnieniach do autoryzowanej aktualizacji, a nie na przejęciu kluczy kryptograficznych portfela. Wykazała również, że posiadanie klucza prywatnego nie gwarantuje wyłącznej kontroli nad aktywami na Arbitrum One, gdy zarządzanie może zmieniać reguły przetwarzania transakcji.

W kwietniu rada zastosowała to samo podejście, aby zamrozić około 30 766 ETH powiązanych z eksploitem KelpDAO. Działanie związane z Binance stanowi drugą tego rodzaju interwencję rady w tym roku.

Binance opisuje wielomiesięczną infiltrację

Binance oświadczyło 3 listopada, pięć dni po incydencie, że naruszenie objęło około 6,34 miliarda dolarów, z czego 2,85 miliarda zamrożono lub przechwycono, zgodnie z oficjalnym postem na blogu i postem na X. FBI przypisało kradzież operacji TraderTraitor z Korei Północnej.

Giełda prześledziła kampanię do zmodyfikowanej instalacji Homebrew pobranej w czerwcu oraz do osobnego oszustwa rekrutacyjnego z września, które przekonało innego inżyniera do pobrania złośliwego kodu. Atakujący wykorzystali następnie skompromitowane urządzenia, wewnętrzne narzędzie AI i skradzione dane uwierzytelniające, aby dotrzeć do infrastruktury podpisywania portfeli.

Transfery z 29 października obejmowały 233,46 miliona XRP. Na Ethereum złośliwe autoryzacje EIP-7702 umożliwiły dalsze transfery poza standardowymi systemami wypłat Binance, co oznacza, że zawieszenie wypłat klientów nie zatrzymało wszystkich odpływów środków.

Binance oświadczyło, że przeznaczyło więcej niż wystarczające środki na pokrycie strat i uzupełniło 98% dotkniętych tokenów, nabywając pozostałą, mniej płynną część. Giełda odbudowała również dotknięte systemy, wymieniła skompromitowane urządzenia i unieważniła ujawnione dane uwierzytelniające. Te zakupy zastępcze są odrębne od odzyskiwania skradzionych aktywów.

Binance angażuje niezależne firmy cyberbezpieczeństwa do weryfikacji wstępnych ustaleń, a środki zabezpieczone dzięki interwencji Arbitrum pozostają przedmiotem decyzji zarządzania. Wynik głosowania DAO i rezultaty niezależnych analiz to kolejne wydarzenia, których warto obserwować.