• Совет по безопасности Arbitrum из 12 человек 30 октября перевёл 8 425 ETH и 74,6 миллиона ARB на адрес хранения.

• 29 октября в результате кражи с Binance было похищено средств на 6,43 млрд долларов — это крупнейший взлом за всю историю.

• Около 44% похищенных средств заморожено или конфисковано — для сравнения, после кражи у Bybit этот показатель составил 3%.

Девять подписей переместили токены хакеров

Около 8 425 ETH и 74,6 миллиона ARB, похищенных при взломе Binance, теперь находятся на адресе хранения под контролем DAO Arbitrum. Совет по безопасности сети перевёл их туда 30 октября, не задействовав приватные ключи хакеров. Совет действовал на следующий день после кражи с Binance средств на сумму 6,43 млрд долларов — компания Elliptic, специализирующаяся на блокчейн-аналитике, называет её крупнейшим взломом за всю историю. Первыми переместили доллары. Tether заморозила USDT хакеров через 37 минут после поступления на их основной кошелёк, а Circle заблокировала все 823 млн долларов в украденных USDC несколькими минутами позже. Поэтому оба баланса в стейблкоинах по-прежнему находятся на адресе кошелька хакеров и заблокированы на уровне смарт-контрактов. Сеть не могла воспользоваться тем же методом: у Arbitrum, решения второго уровня для Ethereum, нет функции внесения адресов в чёрный список. Вместо этого у сети есть Совет по безопасности из 12 человек, избираемый держателями токенов, и правило, закреплённое в конституции её DAO: совет может обновить любой компонент «без задержки, чтобы отреагировать на угрозу безопасности». Достаточно девяти из двенадцати подписей. Вечером 29 октября совет воспользовался этим полномочием и ненадолго заменил программное обеспечение, которое передаёт транзакции в сеть, а затем через этот временный ретранслятор отправил от имени хакеров две транзакции. Так 8 425 ETH и 74,6 миллиона ARB — токена управления сетью — оказались на адресе хранения. В нашем предыдущем материале о замороженных 74,6 миллиона ARB мы проследили обе транзакции в блокчейне в тот же день. В отличие от внесения в чёрный список эмитентом, которое блокирует средства на месте, эта операция физически переместила активы. Поэтому хакеры не смогли бы вернуть их, даже сменив свои приватные ключи. В целом ответ на эту кражу оказался необычайно эффективным: по оценке Elliptic, заморожено или конфисковано около 44% от похищенных 6,43 млрд долларов. Для сравнения, после прошлогодней кражи у Bybit этот показатель составил около 3%. Но биткоины остановить не удалось: ни один из 18 270 украденных BTC не был заморожен, как и эфир, который хакеры держат в основной сети Ethereum.

Прецедент по делу KelpDAO

У операции 30 октября есть один прямой прецедент. В апреле тот же совет воспользовался полномочием заменить ретранслятор в отношении злоумышленника, атаковавшего KelpDAO, а высвободить этот эфир удалось лишь 15 июня. Задержка была связана с юридическими, а не техническими причинами: семьи, получившие судебные решения против Северной Кореи, направили уведомление о запрете распоряжаться замороженными активами, и прежде чем держатели токенов проголосовали за перевод средств в Aave, федеральный суд должен был одобрить перевод. Стабилькойновая часть мер, напротив, была реализована в течение первого часа после кражи. Заморозка активов на базе Arbitrum в апрельском случае тогда вызвала критику; об этом стоит помнить теперь, когда совет поступил так уже дважды: пользователи, на которых распространяется это полномочие, могут оспаривать его, хотя оно и позволяет остановить воров. Этот механизм распространяется и дальше. Robinhood Chain, запущенная в июле на технологическом стеке Arbitrum и теперь располагающая активами примерно на $2.24 миллиарда, предоставляет аналогичное право заморозки одному кошельку Robinhood, для которого нужны семь из восьми подписей и не предусмотрен период ожидания. Согласно публичным трекерам защитных механизмов сетей второго уровня, 79 из 83 отслеживаемых ими сетей не дают пользователям возможности вывести средства до вступления обновления в силу. Заморозка на стороне эмитента основана на другом коде, но приводит к тому же результату. Контракт Tether может уничтожить баланс из чёрного списка и выпустить токены заново; по словам компании, эта функция позволила вернуть около $1.2 миллиарда после прежних краж. В контракте Circle такой функции нет. Circle заявляла, что замораживает средства только при наличии юридически обязательного требования, направленного в рамках законной процедуры, хотя в мае компания добавила исключение для срочных запросов правоохранительных органов, поданных до получения судебного постановления. Bitcoin стоит в стороне от всего этого. Ни эмитент, ни совет, ни суд не могут нажать на нём выключатель — поэтому украденные 18,270 BTC остаются недосягаемыми, и поэтому действия Arbitrum вновь ставят вопрос: когда, если вообще когда-либо, кто-то, кроме владельца ключа, должен иметь возможность перемещать монету.

Что показывают сейчас данные блокчейна

Уведомление совета о чрезвычайных мерах, опубликованное на форуме Arbitrum 30 октября, содержит посмертный разбор операции: в нём зафиксированы замена ретранслятора и два перевода, а данные блокчейна подтверждают, что адрес назначения с тех пор не изменился. Потеря контроля произошла из-за полномочия заменить ретранслятор, а не из-за компрометации ключей хакеров, поэтому токены вернутся, если вернутся, в рамках процедуры разблокировки DAO, подобной той, на которую в случае KelpDAO ушло шесть недель. Запланированная на 15 ноября разблокировка 93.14 миллиона ARB увеличит объём токенов в обращении, тогда как украденные 74.6 миллиона останутся заблокированными. По состоянию на 5 ноября данные блокчейна указывают, что 8,425 ETH и 74.6 миллиона ARB находятся на адресе хранения — это последняя точка, где их видели.