Совет по безопасности Arbitrum обеспечил сохранность активов на сумму около 30 миллионов долларов, связанных со взломом Binance 29 октября, используя экстренные полномочия по обновлению сети, чтобы переместить средства со связанного с атакующими адреса без получения его приватного ключа.

Интервенция 30 октября, проведенная через день после взлома, переместила 8 425 ETH и 74,56 миллиона ARB в холдинговый адрес, контролируемый через управление ArbitrumDAO, что задокументировано в посте Совета по безопасности на форуме управления Arbitrum. Активы остаются замороженными, а не возвращенными Binance, и для их разблокировки требуется голосование DAO, поэтому окончательная судьба средств зависит от управления ArbitrumDAO, а не от совета, осуществившего заморозку. Arbitrum заявил, что средства и приложения других пользователей не пострадали.

Экстренное обновление отменяет требования к подписям

Для выполнения экстренных действий совету из 12 членов требуется одобрение не менее девяти из них. Эти полномочия позволяют обновлять контракты сети без ожидания стандартного процесса управления.

В рамках этой интервенции совет временно изменил работающий на Ethereum контракт Inbox Arbitrum, через который сообщения передаются в сеть второго уровня. Заменяющий код позволил обработать две транзакции так, как будто они исходили со связанного с атакующими адреса, переместив его ETH и ARB в холдинговый кошелек. Исходная реализация контракта была восстановлена в рамках той же транзакции Ethereum.

Компания по безопасности Zealynx обнаружила, что получившиеся транзакции Arbitrum содержали пустые поля подписей, что демонстрирует: переводы не требовали подписей от целевого кошелька — механизм был рассмотрен в обсуждении на Ethereum Magicians. Интервенция опиралась на полномочия по авторизованному обновлению, а не на компрометацию криптографических ключей кошелька. Она также показала, что владение приватным ключом не гарантирует исключительного контроля над активами в Arbitrum One, когда управление может изменять правила обработки транзакций.

Совет использовал тот же подход в апреле, чтобы заморозить около 30 766 ETH, связанных со взломом KelpDAO. Действие, связанное с Binance, стало второй такой интервенцией совета за этот год.

Binance рассказывает о вторжении, длившемся несколько месяцев

3 ноября, через пять дней после инцидента, Binance сообщил, что взлом затронул примерно 6,34 миллиарда долларов, из которых 2,85 миллиарда заморожено или перехвачено, согласно официальному сообщению в блоге и посту в X. ФБР возложило ответственность за кражу на операцию TraderTraitor из КНДР.

Биржа проследила кампанию до измененной установки Homebrew, загруженной в июне, и отдельной сентябрьской схемы с ложным рекрутингом, убедившей другого инженера загрузить вредоносный код. В дальнейшем атакующие использовали скомпрометированные устройства, внутренний инструмент на базе ИИ и украденные учетные данные для доступа к инфраструктуре подписания кошельков.

Переводы 29 октября включали 233,46 миллиона XRP. В сети Ethereum вредоносные авторизации EIP-7702 позволили провести дополнительные переводы в обход стандартных систем вывода Binance, то есть приостановка вывода средств клиентов не остановила все исходящие потоки.

Binance сообщил, что выделил более чем достаточные средства для покрытия убытков и восполнил 98% пострадавших токенов, выкупив менее ликвидную часть. Биржа также перестроила затронутые системы, заменила скомпрометированные устройства и отозвала раскрытые учетные данные. Эти закупки для замены являются отдельной мерой и не связаны с возвратом украденных активов.

Binance привлекает независимые компании по кибербезопасности для проверки своих предварительных выводов, а средства, обеспеченные благодаря интервенции Arbitrum, остаются предметом управленческого решения. Результат голосования DAO и итоги независимых проверок станут следующими событиями, за которыми стоит следить.