【El Comité de Seguridad de Arbitrum trasladó unos 30 millones de dólares robados a Binance sin usar la clave privada del hacker】
Según informó CoinDesk hoy, el Comité de Seguridad de Arbitrum utilizó sus poderes de actualización de emergencia el viernes 30 de octubre para transferir a una dirección de custodia 8.425 ETH y 74 millones de $ARB (unos 30 millones de dólares; apenas una pequeña parte de los aproximadamente 6.300 millones de dólares robados en total) desde las direcciones relacionadas con el robo a Binance.
El método merece un análisis detallado por parte de los ingenieros: nueve de los 12 miembros del comité firmaron una transacción de Ethereum que sustituyó temporalmente el código del contrato Arbitrum Inbox y añadió una función para «enviar transacciones en nombre de cualquier dirección». Tras realizar dos transferencias, restauraron el código original dentro de la misma transacción. El comunicado del comité indicó que los fondos de otros usuarios y las aplicaciones no se vieron afectados, y que estos fondos solo podrán volver a moverse mediante una votación de gobernanza de ArbitrumDAO. Ya ocurrió algo parecido en abril de este año: se trasladaron 30.766 ETH de las direcciones del atacante de KelpDAO (unos 71 millones de dólares en aquel momento). Retirarlos después llevó varias semanas y también implicó una orden judicial de restricción.
3 puntos para evitar problemas:
1. La premisa de que «solo se puede mover una dirección con su clave privada» depende, en las cadenas con permisos de actualización, de quién controla la vía de actualización. Para evaluar si una cadena está descentralizada, primero hay que fijarse en los permisos de actualización y en el número de firmantes de la multifirma.
2. Congelar fondos puede ayudar a recuperarlos, pero también significa que, en teoría, esos mismos permisos pueden afectar a cualquier dirección. Lee la documentación de gobernanza antes de usar una red de segunda capa.
3. Los fondos recuperados pasan por un proceso de votación de la DAO y no se devuelven de inmediato a las víctimas. No te creas eso de «recuperados = abonados enseguida».
¿Crees que el poder de congelar fondos de emergencia en la cadena es una salvaguarda de seguridad necesaria o un riesgo de centralización? Cuéntanoslo en los comentarios.
$ARB $ETH $BNB
#Arbitrum #币安被盗 #链上安全 #BinanceSquare
DYOR, no es asesoramiento de inversión
Según informó CoinDesk hoy, el Comité de Seguridad de Arbitrum utilizó sus poderes de actualización de emergencia el viernes 30 de octubre para transferir a una dirección de custodia 8.425 ETH y 74 millones de $ARB (unos 30 millones de dólares; apenas una pequeña parte de los aproximadamente 6.300 millones de dólares robados en total) desde las direcciones relacionadas con el robo a Binance.
El método merece un análisis detallado por parte de los ingenieros: nueve de los 12 miembros del comité firmaron una transacción de Ethereum que sustituyó temporalmente el código del contrato Arbitrum Inbox y añadió una función para «enviar transacciones en nombre de cualquier dirección». Tras realizar dos transferencias, restauraron el código original dentro de la misma transacción. El comunicado del comité indicó que los fondos de otros usuarios y las aplicaciones no se vieron afectados, y que estos fondos solo podrán volver a moverse mediante una votación de gobernanza de ArbitrumDAO. Ya ocurrió algo parecido en abril de este año: se trasladaron 30.766 ETH de las direcciones del atacante de KelpDAO (unos 71 millones de dólares en aquel momento). Retirarlos después llevó varias semanas y también implicó una orden judicial de restricción.
3 puntos para evitar problemas:
1. La premisa de que «solo se puede mover una dirección con su clave privada» depende, en las cadenas con permisos de actualización, de quién controla la vía de actualización. Para evaluar si una cadena está descentralizada, primero hay que fijarse en los permisos de actualización y en el número de firmantes de la multifirma.
2. Congelar fondos puede ayudar a recuperarlos, pero también significa que, en teoría, esos mismos permisos pueden afectar a cualquier dirección. Lee la documentación de gobernanza antes de usar una red de segunda capa.
3. Los fondos recuperados pasan por un proceso de votación de la DAO y no se devuelven de inmediato a las víctimas. No te creas eso de «recuperados = abonados enseguida».
¿Crees que el poder de congelar fondos de emergencia en la cadena es una salvaguarda de seguridad necesaria o un riesgo de centralización? Cuéntanoslo en los comentarios.
$ARB $ETH $BNB
#Arbitrum #币安被盗 #链上安全 #BinanceSquare
DYOR, no es asesoramiento de inversión