Хакер не подписывал транзакцию, а монеты уже вывели.
30 октября Совет безопасности Arbitrum перевёл 8 425 ETH и 74 559 805,2 ARB, связанные с инцидентом с горячим кошельком Binance, на адрес хранения. Совет временно изменил контракт Inbox в Ethereum, чтобы Arbitrum считал транзакцию исходящей от адреса, связанного с инцидентом. После перевода активов контракт вернули в исходное состояние. Вот это да: приватный ключ не тронули, зато воспользовались полномочиями на обновление.
Это не было чьей-то единоличной прихотью. В Совете безопасности Arbitrum 12 членов, и для использования полномочий по экстренному обновлению контрактов необходимо согласие как минимум 9 из них. По данным CoinDesk, средства поступили в Arbitrum примерно через 10 минут; поле подписи транзакции было пустым. В заявлении Совета говорилось, что средства других пользователей и приложения не пострадали.
Но перевод токенов комитетом на адрес хранения не означает, что Binance уже их вернула.
Комитет заявил, что впоследствии переместить эти активы можно будет только по итогам голосования по управлению ArbitrumDAO. 5 ноября Binance опубликовала на форуме предложение конституционного уровня с просьбой к DAO перевести замороженные активы на адрес для возврата средств Binance. Binance заявила, что покроет убытки пострадавших пользователей, а возвращённые средства пойдут на покрытие потерь и расходов, связанных с инцидентом, в том числе на пополнение использованных средств фонда SAFU или казначейства компании. Ну и дела: экстренные полномочия позволяют ускорить процесс, а для возврата средств всё равно нужно пройти процедуру управления.
По оценкам Binance, весь процесс займёт около 49 дней: обсуждение на форуме, проверка настроений, голосование в блокчейне, а затем исполнение транзакции. Важнее то, что если судебное разбирательство запретит или ограничит перевод, предложение не будет вынесено на голосование в блокчейне, а активы не будут переданы. Binance также обязалась не перемещать активы и не смешивать их с другими средствами до завершения разбирательства, а также учитывать претензии третьих лиц.
Это юридическое препятствие — не пустая формальность. Во время инцидента с KelpDAO в апреле комитет по безопасности тоже перевёл активы; затем средства несколько недель оставались на адресе хранения, поскольку действовал судебный запрет. Лишь после того, как судья изменил ограничения, DAO смогла проголосовать за перевод средств Aave. Вот и подумайте: полномочия могут позволить переместить токены на адрес хранения, но не обязательно помогут сразу вывести их оттуда.
По состоянию на 9 ноября в материалах всё ещё нет подтверждения, что DAO одобрила возврат средств или перевод активов на адрес для возврата средств Binance. Сейчас токены находятся на адресе 0DA0, Binance ждёт голосования DAO, а перед передачей активов может встать судебное разбирательство.#Arbitrum #Binance #DAO