coindesk.com
Der Sicherheitsrat von Arbitrum transferierte letzten Freitag über 8.425 $ETH und 74 Millionen $ARB von einer mit dem Binance-Exploit in Verbindung stehenden Adresse, ohne dass der Hacker Maßnahmen ergriff.
Bei den aktuellen Preisen entspricht das ungefähr 30 Millionen US-Dollar, ein Rundungsfehler im Vergleich zu den etwa 6,3 Milliarden US-Dollar, die von Binance entnommen wurden.
Arbitrum ist ein Netzwerk, das auf Ethereum aufsetzt, um Transaktionen kostengünstiger zu gestalten, und hält Milliarden von Dollar an Benutzereinlagen. Auf jeder Blockchain bewegen sich die Gelder eines Wallets nur dann, wenn dessen privater Schlüssel, eine nur dem Eigentümer bekannte geheime Nummer, die Überweisung genehmigt.
Der Sicherheitsrat ist eine 12-köpfige Gruppe, die von den Inhabern des $ARB-Tokens gewählt wird und über Notfallbefugnisse verfügt, um die Verträge des Netzwerks zu aktualisieren, sofern neun von ihnen zustimmen.
Am Freitag nutzte der Rat diese Befugnisse auf ungewöhnliche Weise. Das Safe des Rates, ein gemeinsam genutztes Wallet, das neun Unterschriften benötigt, führte eine Ethereum-Transaktion aus, die den Code von Arbitrums Inbox, dem Vertrag, der Nachrichten von Ethereum nach Arbitrum überträgt, vorübergehend tauschte.
Der ersetzte Code fügte eine Funktion namens hinzusendUnsignedTransactionOverride, die es dem Rat ermöglichten, Transaktionen zu senden, die Arbitrum als vom Angreifer stammend behandelte.
Zwei solche Transaktionen haben den $ARB und das Ether an eine Verwahradresse mit der Endung 0DA0 transferiert, und der ursprüngliche Inbox-Code wurde in derselben Transaktion wiederhergestellt, so Mitteilung des Rates im Arbitrum-Governance-Forum.
„Die Gelder oder Anwendungen anderer Nutzer waren nicht betroffen“, hieß es in der Mitteilung. Die Gelder „können nur durch eine Abstimmung der ArbitrumDAO Governance bewegt werden, die in Zusammenarbeit mit den relevanten Parteien koordiniert wird.“
Sicherheitsunternehmen Zealynx verfolgte die Transaktionen und erklärte, die Gelder seien etwa 10 Minuten nach der Ethereum-Transaktion auf Arbitrum eingegangen, als Transaktionen des Typs 0x65 mit leeren Signaturfeldern, wobei der eigene Transaktionszähler der Exploiter-Adresse verwendet wurde.
Der Rat „nutzte Befugnisse, die ihm die DAO verliehen hat, und veröffentlichte beide Aktionen innerhalb von anderthalb Stunden“, schrieb das Unternehmen und fügte hinzu, dass die Annahme, eine Adresse bewege sich nur, wenn ihr Schlüssel sie signiert, „von demjenigen abhängt, der den Upgrade-Pfad kontrolliert.“
Das ist jedoch ein großer Vorbehalt für ein Netzwerk, das sich selbst als dezentralisiert vermarktet, und bedeutet, dass wer auch immer den Upgrade-Pfad kontrolliert, jede Adresse auf Arbitrum ausgeben lassen kann.
Der Rat hat dies bereits zuvor getan. Im April hat er 30.766 $ETH, damals etwa 71 Millionen US-Dollar wert, vom KelpDAO-Angreifer transferiert, nachdem die Strafverfolgungsbehörden den Täter identifiziert hatten.
