• Hội đồng Bảo mật gồm 12 thành viên của Arbitrum đã chuyển 8.425 ETH và 74,6 triệu ARB đến một địa chỉ lưu giữ vào ngày 30 tháng 10.

• Vụ đánh cắp từ Binance ngày 29 tháng 10 lên tới 6,43 tỷ USD, trở thành vụ tấn công lớn nhất từng được ghi nhận.

• Khoảng 44% số tiền bị đánh cắp đã bị đóng băng hoặc thu giữ, so với 3% sau vụ đánh cắp Bybit.

Chín chữ ký đã chuyển token của tin tặc

Khoảng 8.425 ETH và 74,6 triệu ARB bị lấy trong vụ xâm nhập Binance hiện nằm trong một địa chỉ lưu giữ dưới sự kiểm soát của Arbitrum DAO. Hội đồng Bảo mật của mạng lưới đã chuyển số tài sản này đến đó vào ngày 30 tháng 10 mà không cần đến khóa riêng của tin tặc. Hội đồng hành động một ngày sau vụ đánh cắp 6,43 tỷ USD từ Binance, vụ mà công ty phân tích blockchain Elliptic gọi là vụ tấn công lớn nhất từng được ghi nhận. Các đồng tiền ổn định được xử lý trước. Tether đóng băng USDT của tin tặc 37 phút sau khi số tiền này đến ví chính của chúng, còn Circle khóa toàn bộ 823 triệu USD USDC bị đánh cắp chỉ vài phút sau đó. Vì vậy, số dư của cả hai đồng tiền ổn định vẫn nằm trong địa chỉ ví của tin tặc, bị chặn ở cấp hợp đồng. Mạng lưới không thể áp dụng cách làm đó: Arbitrum, một mạng layer 2 của Ethereum, không có chức năng đưa vào danh sách đen để sử dụng. Thay vào đó, mạng lưới có Hội đồng Bảo mật gồm 12 thành viên, do những người nắm giữ token của mạng lưới bầu ra, cùng một quy định trong hiến pháp DAO: hội đồng có thể nâng cấp bất cứ thứ gì “không chậm trễ để ứng phó với tình huống khẩn cấp về bảo mật”. Chỉ cần chín trong số mười hai chữ ký là đủ. Tối ngày 29 tháng 10, hội đồng đã sử dụng quyền hạn đó để tạm thời thay thế phần mềm chuyển tiếp giao dịch vào mạng lưới, rồi gửi hai giao dịch dưới danh nghĩa của tin tặc thông qua bộ chuyển tiếp thay thế, chuyển 8.425 ETH và 74,6 triệu ARB — token quản trị của mạng lưới — vào địa chỉ lưu giữ. Bài viết trước của chúng tôi về 74,6 triệu ARB bị đóng băng đã theo dấu cả hai giao dịch chuyển tiền trên chuỗi ngay trong ngày hôm đó. Khác với danh sách đen của nhà phát hành, vốn khóa số dư tại chỗ, thao tác này đã di chuyển tài sản về mặt vật lý. Vì vậy, tin tặc không thể lấy lại số tài sản đó bằng bất kỳ cách nào, kể cả xoay vòng khóa riêng. Xét tổng thể, phản ứng trước vụ đánh cắp này cũng đạt hiệu quả khác thường: theo thống kê của Elliptic, khoảng 44% trong tổng số 6,43 tỷ USD bị lấy đã bị đóng băng hoặc thu giữ, so với khoảng 3% sau vụ đánh cắp Bybit năm ngoái. Nhưng chưa ai ngăn được bitcoin: chưa BTC nào trong số 18.270 BTC bị đánh cắp bị đóng băng, và lượng ether mà tin tặc nắm giữ trên mạng chính Ethereum cũng vậy.

Tiền lệ từ vụ KelpDAO

Chiến dịch ngày 30 tháng 10 có một tiền lệ trực tiếp. Vào tháng 4, chính hội đồng này đã sử dụng quyền thay thế relay để xử lý kẻ khai thác KelpDAO, và phải đến ngày 15 tháng 6 số ether đó mới được giải phóng. Sự chậm trễ là do pháp lý, không phải kỹ thuật: các gia đình nắm giữ phán quyết của tòa án chống lại Triều Tiên đã gửi thông báo phong tỏa tài sản bị đóng băng, và tòa án liên bang phải phê duyệt việc chuyển tiền trước khi người nắm giữ token bỏ phiếu chuyển số tiền này đến Aave. Ngược lại, phần phản ứng liên quan đến stablecoin được triển khai chỉ trong vòng một giờ đầu sau vụ trộm. Việc đóng băng tài sản dựa trên Arbitrum trong vụ việc hồi tháng 4 khi đó đã vấp phải chỉ trích; điều này đáng để ghi nhớ khi hội đồng đã hành động theo cách này đến hai lần: cùng một quyền lực có thể ngăn chặn kẻ trộm cũng có thể bị những người dùng chịu sự quản lý của nó phản đối. Cơ chế này cũng đang lan rộng. Robinhood Chain, ra mắt vào tháng 7 trên nền tảng công nghệ của Arbitrum và hiện nắm giữ khoảng 2,24 tỷ đô la, trao quyền đóng băng tương đương cho một ví duy nhất của Robinhood; ví này cần bảy trong số tám chữ ký và không áp dụng thời gian chờ. Các công cụ theo dõi công khai về biện pháp bảo vệ của mạng layer 2 cho biết 79 trong số 83 mạng họ theo dõi không cho người dùng khoảng thời gian nào để rút tiền trước khi bản nâng cấp có hiệu lực. Cơ chế đóng băng từ phía đơn vị phát hành sử dụng mã khác nhưng đem lại kết quả tương tự. Hợp đồng của Tether có thể hủy số dư trong danh sách đen rồi phát hành lại token; công ty cho biết chức năng này đã thu hồi khoảng 1,2 tỷ đô la từ các vụ trộm trước đây, trong khi hợp đồng của Circle không có chức năng như vậy. Circle từng viết rằng họ chỉ đóng băng tiền khi bị quy trình pháp lý hợp lệ buộc phải làm vậy, dù vào tháng 5 công ty đã bổ sung ngoại lệ cho các yêu cầu khẩn cấp từ cơ quan thực thi pháp luật trước khi có bất kỳ lệnh nào của tòa án. Bitcoin nằm ngoài tất cả những điều này. Không có đơn vị phát hành, hội đồng hay tòa án nào nắm công tắc kiểm soát Bitcoin; vì thế, 18.270 BTC bị đánh cắp vẫn nằm ngoài tầm với, và câu hỏi được hành động của Arbitrum khơi lại là liệu có khi nào người không nắm giữ khóa riêng nên được phép chuyển một đồng coin hay không.

Dữ liệu trên chuỗi hiện cho thấy điều gì

Thông báo về hành động khẩn cấp của chính hội đồng trên diễn đàn Arbitrum, được đăng ngày 30 tháng 10, là bản tổng kết sau sự kiện: thông báo ghi nhận việc thay thế relay và hai giao dịch chuyển tiền, còn dữ liệu trên chuỗi xác nhận địa chỉ nhận tiền vẫn không thay đổi kể từ đó. Việc mất quyền kiểm soát bắt nguồn từ quyền thay thế relay, chứ không phải do khóa của tin tặc bị xâm phạm; vì vậy, nếu token được trả lại thì chúng sẽ được hoàn trả thông qua quy trình giải ngân của DAO, tương tự quy trình kéo dài sáu tuần trong vụ KelpDAO. Đợt mở khóa theo lịch trình 93,14 triệu ARB vào ngày 15 tháng 11 sẽ làm tăng nguồn cung lưu hành, trong khi 74,6 triệu token bị đánh cắp vẫn bị khóa. Tính đến ngày 5 tháng 11, dữ liệu trên chuỗi cho thấy 8.425 ETH và 74,6 triệu ARB vẫn nằm tại địa chỉ lưu giữ, điểm cuối cùng ghi nhận được số tài sản này.