• Le Conseil de sécurité d’Arbitrum, composé de 12 membres, a transféré 8 425 ETH et 74,6 millions d’ARB vers une adresse de dépôt le 30 octobre.
• Le vol de Binance s’est élevé à 6,43 milliards de dollars le 29 octobre, ce qui en fait le plus grand piratage jamais recensé.
• Environ 44 % des fonds volés sont gelés ou saisis, contre 3 % après le vol de Bybit.
Neuf signatures ont déplacé les jetons des pirates
Environ 8 425 ETH et 74,6 millions d’ARB dérobés lors de la faille de Binance se trouvent désormais sur une adresse de dépôt sous le contrôle de la DAO d’Arbitrum. Ils y ont été placés le 30 octobre par le Conseil de sécurité du réseau, sans que les clés privées des pirates n’entrent en jeu. Le conseil est intervenu un jour après le vol de 6,43 milliards de dollars à Binance, que la société d’analyse de blockchain Elliptic qualifie de plus grand piratage jamais recensé. Les dollars ont été déplacés en premier. Tether a gelé les 37 minutes après leur arrivée dans le portefeuille principal des pirates, et Circle a bloqué les 823 millions de dollars en USDC volés quelques minutes plus tard. Les deux soldes en stablecoins se trouvent donc toujours dans l’adresse de portefeuille des pirates, bloqués au niveau du contrat. Le réseau ne pouvait pas recourir à la même méthode : Arbitrum, une solution de couche 2 d’Ethereum, ne dispose d’aucune fonction de liste noire. Il dispose en revanche d’un Conseil de sécurité de 12 membres, élus par les détenteurs de jetons du réseau, et d’une règle inscrite dans la constitution de sa DAO : le conseil peut mettre à niveau n’importe quel élément « sans délai afin de répondre à une urgence de sécurité ». Neuf des douze signatures suffisent. Dans la soirée du 29 octobre, le conseil a utilisé ce pouvoir pour remplacer brièvement le logiciel qui transmet les transactions au réseau, puis a envoyé deux transactions au nom des pirates par l’intermédiaire du relais de remplacement, transférant ainsi 8 425 ETH et 74,6 millions d’ARB, le jeton de gouvernance du réseau, vers l’adresse de dépôt. Notre précédent article sur les 74,6 millions d’ARB gelés a retracé les deux transferts sur la chaîne le jour même. Contrairement à une liste noire établie par un émetteur, qui bloque un solde sur place, cette opération a déplacé physiquement les actifs. Aucun geste des pirates, y compris le renouvellement de leurs clés privées, ne pouvait donc leur permettre de les récupérer. La réponse à ce vol a également été exceptionnellement efficace dans son ensemble : selon le décompte d’Elliptic, environ 44 % des 6,43 milliards de dollars dérobés ont été gelés ou saisis, contre environ 3 % après le vol de Bybit l’an dernier. En revanche, personne n’a pu arrêter les bitcoins : aucun des 18 270 BTC volés n’a été gelé, pas plus que l’ether détenu par les pirates sur le réseau principal d’Ethereum.
Un précédent dans l’affaire KelpDAO
L’opération du 30 octobre a un précédent direct. En avril, le même conseil a utilisé son pouvoir de remplacement du relais contre l’exploiteur de KelpDAO, et il a fallu attendre le 15 juin pour que cet ether soit libéré. Le blocage était juridique, et non technique : des familles détenant des décisions de justice contre la Corée du Nord ont signifié une ordonnance de gel des actifs, et un tribunal fédéral a dû autoriser le transfert avant que les détenteurs de jetons ne votent pour acheminer les fonds vers Aave. En revanche, le volet stablecoin de la réponse a été mis en place dans l’heure qui a suivi le vol. Le gel des actifs fondés sur Arbitrum lors de l’affaire d’avril avait suscité des critiques à l’époque, un point à garder à l’esprit maintenant que le conseil a agi ainsi à deux reprises : le même pouvoir qui arrête les voleurs peut être contesté par les utilisateurs qu’il gouverne. Le mécanisme se répand également. Robinhood Chain, lancée en juillet sur la pile technologique d’Arbitrum et qui détient désormais environ 2,24 milliards de dollars, confère un pouvoir de gel équivalent à un seul portefeuille Robinhood. Celui-ci nécessite sept signatures sur huit et n’impose aucun délai d’attente. Selon les observatoires publics des mesures de protection des solutions de couche 2, 79 des 83 réseaux qu’ils suivent ne laissent aux utilisateurs aucune possibilité de retrait avant l’entrée en vigueur d’une mise à niveau. Les gels effectués par les émetteurs reposent sur un code différent, mais aboutissent au même résultat. Le contrat de Tether peut détruire un solde inscrit sur liste noire et réémettre les jetons, une fonction qui, selon l’entreprise, a permis de restituer environ 1,2 milliard de dollars provenant de vols antérieurs. Le contrat de Circle ne dispose pas d’une telle fonction. Circle a déclaré ne geler des fonds qu’en cas d’obligation légale dans le cadre d’une procédure régulière, tout en ajoutant en mai une exception pour les demandes urgentes des forces de l’ordre présentées avant toute décision de justice. Le bitcoin échappe à tout cela. Aucun émetteur, conseil ou tribunal ne peut actionner un interrupteur le concernant. C’est pourquoi les 18 270 BTC volés restent hors d’atteinte, et pourquoi l’action d’Arbitrum remet sur le tapis la question de savoir quand, le cas échéant, quelqu’un d’autre que le détenteur d’une clé devrait pouvoir déplacer une pièce.
Ce que révèlent les données sur la chaîne à ce jour
L’avis du conseil sur son intervention d’urgence, publié sur le forum d’Arbitrum le 30 octobre, constitue le compte rendu de l’opération : il consigne le remplacement du relais et les deux transferts, et les données sur la chaîne confirment que la destination n’a pas changé depuis. La perte de contrôle résulte du pouvoir de remplacement du relais, et non d’une compromission des clés des pirates. Si les jetons sont restitués, ils le seront donc par le biais d’une procédure de libération de la DAO, comme celle qui a duré six semaines dans l’affaire KelpDAO. Un déblocage programmé de 93,14 millions d’ARB le 15 novembre viendra accroître l’offre en circulation, tandis que les 74,6 millions volés resteront bloqués. Au 5 novembre, les données sur la chaîne situaient les 8 425 ETH et les 74,6 millions d’ARB à l’adresse de dépôt, dernier endroit où ils ont été repérés.