Hội đồng Arbitrum vừa chuyển 30 triệu USD tiền bị đánh cắp — mà hoàn toàn không cần khóa riêng của hacker.
Sự thật: Security Council của Arbitrum, hội đồng gồm 12 thành viên có thể hành động khẩn cấp nếu 9 thành viên đồng thuận, đã chuyển khoảng 8.425 ETH và 74 triệu ARB — tổng cộng khoảng 30 triệu USD — từ các địa chỉ liên quan đến vụ tấn công Binance tuần trước (CoinDesk, ngày 3 tháng 11; Analytics Insight xác nhận, ngày 3 tháng 11). Cách thức: mã hợp đồng Inbox của Arbitrum tạm thời được thay bằng một hàm có tên sendUnsignedTransactionOverride, cho phép hội đồng gửi giao dịch được xử lý như thể đến từ địa chỉ của hacker — rồi mã gốc được khôi phục trong cùng giao dịch, theo thông báo của hội đồng trên diễn đàn quản trị. Số tiền hiện nằm trong một địa chỉ lưu ký và chỉ có thể được chuyển đi thông qua cuộc bỏ phiếu của ArbitrumDAO. Đây không phải lần đầu: hồi tháng 4, hội đồng đã sử dụng quyền hạn tương tự để chuyển 30.766 ETH (khi đó trị giá khoảng 71 triệu USD) từ kẻ khai thác lỗ hổng KelpDAO.
Ý kiến của tôi: con số này nhỏ so với tổng cộng khoảng 6,3 tỷ USD bị đánh cắp — nhưng cơ chế đằng sau mới là chuyện lớn. Từ trước đến nay, giả định cơ bản của blockchain là tiền trong một địa chỉ chỉ có thể di chuyển khi khóa riêng ký xác nhận. Vụ việc này cho thấy giả định đó chỉ đúng cho đến khi chạm tới những người nắm quyền nâng cấp: bất kỳ ai kiểm soát việc nâng cấp hợp đồng đều có thể khiến bất kỳ địa chỉ nào "chi tiêu" tiền của mình. Tôi không nghi ngờ ý định giải cứu, nhưng tiền lệ này rất đáng lo: khi quyền hạn khẩn cấp đã được sử dụng đến lần thứ hai, câu hỏi không còn là liệu điều đó có thể xảy ra hay không, mà là khi nào và với ai tiếp theo.
Những điều tôi đang theo dõi: cuộc bỏ phiếu của DAO về số phận khoản tiền trong địa chỉ lưu ký đó, phản ứng của cộng đồng và các nhà phát triển Arbitrum, cũng như việc cơ chế khẩn cấp này có được siết chặt sau hai lần sử dụng hay không.
Theo các bạn, hành động của hội đồng là một cuộc giải cứu chính đáng hay là tiền lệ nguy hiểm đối với tính phi tập trung?
Đây là phân tích của tôi, không phải lời khuyên tài chính — hãy luôn tự nghiên cứu (DYOR).
#Arbitrum #KeamananCrypto $ARB $ETH
Sự thật: Security Council của Arbitrum, hội đồng gồm 12 thành viên có thể hành động khẩn cấp nếu 9 thành viên đồng thuận, đã chuyển khoảng 8.425 ETH và 74 triệu ARB — tổng cộng khoảng 30 triệu USD — từ các địa chỉ liên quan đến vụ tấn công Binance tuần trước (CoinDesk, ngày 3 tháng 11; Analytics Insight xác nhận, ngày 3 tháng 11). Cách thức: mã hợp đồng Inbox của Arbitrum tạm thời được thay bằng một hàm có tên sendUnsignedTransactionOverride, cho phép hội đồng gửi giao dịch được xử lý như thể đến từ địa chỉ của hacker — rồi mã gốc được khôi phục trong cùng giao dịch, theo thông báo của hội đồng trên diễn đàn quản trị. Số tiền hiện nằm trong một địa chỉ lưu ký và chỉ có thể được chuyển đi thông qua cuộc bỏ phiếu của ArbitrumDAO. Đây không phải lần đầu: hồi tháng 4, hội đồng đã sử dụng quyền hạn tương tự để chuyển 30.766 ETH (khi đó trị giá khoảng 71 triệu USD) từ kẻ khai thác lỗ hổng KelpDAO.
Ý kiến của tôi: con số này nhỏ so với tổng cộng khoảng 6,3 tỷ USD bị đánh cắp — nhưng cơ chế đằng sau mới là chuyện lớn. Từ trước đến nay, giả định cơ bản của blockchain là tiền trong một địa chỉ chỉ có thể di chuyển khi khóa riêng ký xác nhận. Vụ việc này cho thấy giả định đó chỉ đúng cho đến khi chạm tới những người nắm quyền nâng cấp: bất kỳ ai kiểm soát việc nâng cấp hợp đồng đều có thể khiến bất kỳ địa chỉ nào "chi tiêu" tiền của mình. Tôi không nghi ngờ ý định giải cứu, nhưng tiền lệ này rất đáng lo: khi quyền hạn khẩn cấp đã được sử dụng đến lần thứ hai, câu hỏi không còn là liệu điều đó có thể xảy ra hay không, mà là khi nào và với ai tiếp theo.
Những điều tôi đang theo dõi: cuộc bỏ phiếu của DAO về số phận khoản tiền trong địa chỉ lưu ký đó, phản ứng của cộng đồng và các nhà phát triển Arbitrum, cũng như việc cơ chế khẩn cấp này có được siết chặt sau hai lần sử dụng hay không.
Theo các bạn, hành động của hội đồng là một cuộc giải cứu chính đáng hay là tiền lệ nguy hiểm đối với tính phi tập trung?
Đây là phân tích của tôi, không phải lời khuyên tài chính — hãy luôn tự nghiên cứu (DYOR).
#Arbitrum #KeamananCrypto $ARB $ETH