Conselho da Arbitrum movimenta cerca de US$ 30 milhões ligados a ataque à Binance sem chave do hacker

O Conselho de Segurança da Arbitrum transferiu mais de 8.425 ETH e 74 milhões de ARB de um endereço ligado à exploração da Binance na sexta-feira passada, sem a chave privada nem a participação do hacker. Os ativos recuperados têm valor atual de cerca de US$ 30 milhões. A exploração da Binance resultou na retirada de cerca de US$ 6,3 bilhões.

A Arbitrum opera sobre a Ethereum para reduzir os custos de transação e mantém bilhões de dólares depositados por usuários. Em geral, transferências em blockchain exigem autorização por meio da chave privada de uma carteira, um número secreto conhecido apenas pelo proprietário. Os detentores do token ARB elegem os 12 integrantes do Conselho de Segurança. O conselho pode usar poderes de emergência para atualizar contratos da rede com a aprovação de nove integrantes.

A carteira Safe do conselho exige nove assinaturas. Na sexta-feira, a Safe enviou uma única transação na Ethereum que substituiu temporariamente o código que rege o contrato Inbox da Arbitrum. O Inbox transporta mensagens da Ethereum para a Arbitrum. A substituição introduziu a função sendUnsignedTransactionOverride, que permite ao conselho enviar transações reconhecidas pela Arbitrum como originárias do endereço do invasor.

O aviso do conselho no fórum de governança disse que duas transações transferiram os tokens ARB e ether para um endereço de custódia terminado em 0DA0. O aviso disse que a mesma transação na Ethereum também restabeleceu o código original do Inbox. O aviso disse que a operação não afetou os ativos e aplicativos de outros usuários. O aviso disse que uma votação de governança da ArbitrumDAO, coordenada com as partes relevantes, é a única maneira de movimentar novamente os ativos recuperados.

A empresa de segurança Zealynx disse que o rastreamento das transações mostrou que os ativos chegaram à Arbitrum cerca de 10 minutos após a transação na Ethereum. A Zealynx identificou as transferências como transações do tipo 0x65, com campos de assinatura vazios, que usaram o contador de transações do endereço do invasor. A Zealynx disse que o conselho exerceu poderes concedidos pela DAO e divulgou as duas ações em até 90 minutos. A Zealynx disse que o princípio de que um endereço precisa de sua chave privada para autorizar transferências depende de quem controla as atualizações dos contratos. Portanto, o controle do mecanismo de atualização da Arbitrum permite transações de qualquer endereço, uma ressalva significativa às alegações de descentralização da rede.

Em abril, o conselho recuperou 30.766 ETH do invasor da KelpDAO depois que as autoridades policiais identificaram o responsável. Na época, esses ativos valiam cerca de US$ 71 milhões. A liberação desse ether do endereço de custódia levou semanas. Famílias com decisões judiciais não pagas por terrorismo contra a Coreia do Norte tentaram reivindicar os ativos. Um juiz federal em Manhattan precisou alterar uma ordem de restrição antes que a DAO pudesse votar a transferência do ether para a Aave.