• Dewan Keamanan Arbitrum yang beranggotakan 12 orang memindahkan 8.425 ETH dan 74,6 juta ARB ke alamat penampungan pada 30 Oktober.

• Pencurian Binance pada 29 Oktober mencapai total $6,43 miliar, menjadikannya peretasan terbesar yang pernah tercatat.

• Sekitar 44% dana curian telah dibekukan atau disita, dibandingkan dengan 3% setelah pencurian Bybit.

Sembilan Tanda Tangan Memindahkan Token Para Peretas

Sekitar 8.425 ETH dan 74,6 juta ARB yang diambil dalam peretasan Binance kini berada di alamat penampungan di bawah kendali Arbitrum DAO. Aset itu ditempatkan di sana pada 30 Oktober oleh Dewan Keamanan jaringan, tanpa melibatkan kunci privat para peretas. Dewan bertindak sehari setelah pencurian senilai $6,43 miliar dari Binance—yang disebut firma analitik blockchain Elliptic sebagai peretasan terbesar yang pernah tercatat. Aset dolar dipindahkan lebih dulu. Tether membekukan USDT senilai $37 juta milik para peretas 37 menit setelah aset itu mencapai dompet utama mereka, dan Circle mengunci seluruh USDC curian senilai $823 juta beberapa menit kemudian. Karena itu, saldo kedua stablecoin tersebut masih berada di alamat dompet para peretas, diblokir pada tingkat kontrak. Jaringan ini tidak dapat menggunakan metode yang sama: Arbitrum, solusi layer-2 Ethereum, tidak memiliki fungsi daftar hitam. Sebagai gantinya, jaringan ini memiliki Dewan Keamanan beranggotakan 12 orang yang dipilih oleh para pemegang token jaringan, serta aturan dalam konstitusi DAO-nya: dewan dapat melakukan peningkatan apa pun “tanpa penundaan untuk merespons keadaan darurat keamanan.” Sembilan dari dua belas tanda tangan sudah cukup. Pada malam 29 Oktober, dewan menggunakan kewenangan itu untuk sementara mengganti perangkat lunak yang meneruskan transaksi ke jaringan, lalu mengirimkan dua transaksi atas nama para peretas melalui perangkat lunak pengganti tersebut. Langkah ini memindahkan 8.425 ETH dan 74,6 juta ARB—token tata kelola jaringan—ke alamat penampungan. Laporan kami sebelumnya tentang 74,6 juta ARB yang dibekukan menelusuri kedua transfer tersebut secara on-chain pada hari yang sama. Tidak seperti daftar hitam yang diterapkan penerbit, yang membekukan saldo di tempat, operasi ini memindahkan aset secara langsung. Artinya, para peretas tidak dapat mengambilnya kembali dengan cara apa pun, termasuk mengganti kunci privat mereka. Secara keseluruhan, respons terhadap pencurian ini juga terbilang sangat efektif: perhitungan Elliptic menunjukkan sekitar 44% dari total jarahan senilai $6,43 miliar telah dibekukan atau disita, dibandingkan dengan sekitar 3% setelah pencurian Bybit tahun lalu. Yang belum berhasil dihentikan adalah bitcoin: tidak satu pun dari 18.270 BTC yang dicuri telah dibekukan, begitu pula ether yang dikuasai para peretas di jaringan utama Ethereum.

Preseden dari Kasus KelpDAO

Operasi pada 30 Oktober memiliki satu preseden langsung. Pada April, dewan yang sama menggunakan wewenang penggantian relay terhadap pelaku eksploitasi KelpDAO, dan ether tersebut baru berhasil dibebaskan pada 15 Juni. Penundaan itu disebabkan persoalan hukum, bukan teknis: keluarga-keluarga yang memegang putusan pengadilan terhadap Korea Utara menyampaikan pemberitahuan penahanan atas aset yang dibekukan, dan pengadilan federal harus menyetujui transfer sebelum pemegang token memberikan suara untuk menyalurkan dana ke Aave. Sebaliknya, penanganan sisi stablecoin rampung dalam satu jam pertama setelah pencurian. Pembekuan aset berbasis Arbitrum dalam kasus April menuai kritik saat itu. Hal ini patut diingat sekarang, setelah dewan bertindak dengan cara yang sama dua kali: wewenang yang sama yang menghentikan pencuri dapat dipersoalkan oleh para pengguna yang diaturnya. Mekanisme ini juga kian meluas. Robinhood Chain, yang diluncurkan pada Juli dengan tumpukan teknologi Arbitrum dan kini menampung sekitar $2,24 miliar, memberikan wewenang pembekuan setara kepada satu dompet Robinhood yang memerlukan tujuh dari delapan tanda tangan dan tidak menetapkan masa tunggu. Pelacak perlindungan layer-2 publik melaporkan bahwa 79 dari 83 jaringan yang mereka pantau tidak memberi pengguna kesempatan untuk menarik dana sebelum pemutakhiran berlaku. Pembekuan oleh penerbit menggunakan kode yang berbeda, tetapi menghasilkan dampak yang sama. Kontrak Tether dapat memusnahkan saldo yang masuk daftar hitam dan menerbitkan ulang tokennya. Perusahaan tersebut menyatakan bahwa fungsi ini telah mengembalikan sekitar $1,2 miliar dari pencurian sebelumnya, sedangkan kontrak Circle tidak memiliki fungsi semacam itu. Circle pernah menulis bahwa mereka hanya membekukan dana ketika diwajibkan secara hukum melalui proses yang sah, meskipun pada Mei mereka menambahkan pengecualian untuk permintaan mendesak dari penegak hukum yang diajukan sebelum adanya perintah pengadilan. Bitcoin berada di luar semua ini. Tidak ada penerbit, dewan, atau pengadilan yang memiliki kendali untuk mengubahnya, sehingga 18.270 BTC yang dicuri tetap di luar jangkauan. Karena itu, tindakan Arbitrum menghidupkan kembali pertanyaan tentang kapan, jika pernah, pihak selain pemegang kunci seharusnya dapat memindahkan suatu koin.

Yang Ditunjukkan Catatan On-Chain Saat Ini

Pemberitahuan tindakan darurat dewan itu sendiri di forum Arbitrum, yang diunggah pada 30 Oktober, menjadi laporan pascakejadian operasi tersebut: pemberitahuan itu mencatat penggantian relay dan dua transfer, sementara data on-chain mengonfirmasi bahwa tujuan transfer tidak berubah sejak saat itu. Hilangnya kendali berawal dari wewenang penggantian relay, bukan dari kompromi atas kunci para peretas. Jadi, jika token tersebut kembali, pengembaliannya akan dilakukan melalui proses pelepasan DAO seperti yang memakan waktu enam minggu dalam kasus KelpDAO. Pelepasan terjadwal sebesar 93,14 juta ARB pada 15 November akan menambah pasokan yang beredar, sementara 74,6 juta ARB yang dicuri tetap terkunci. Hingga 5 November, catatan on-chain menempatkan 8.425 ETH dan 74,6 juta ARB di alamat penampungan, titik terakhir tempat keduanya terlihat.