coindesk.com
El Consejo de Seguridad de Arbitrum movió más de 8,425 ETH y 74 millones de $ARB desde una dirección vinculada a la explotación de Binance el pasado viernes, sin ninguna acción por parte del hacker.
A los precios actuales, eso equivale aproximadamente a 30 millones de dólares, un error de redondeo en comparación con los aproximadamente 6,300 millones de dólares extraídos de Binance.
Arbitrum es una red que opera sobre Ethereum para hacer que las transacciones sean más económicas, y posee miles de millones de dólares en depósitos de usuarios. En cualquier blockchain, los fondos de una billetera se mueven únicamente cuando su clave privada, un número secreto conocido solo por el propietario, autoriza la transferencia.
El Consejo de Seguridad es un grupo de 12 miembros elegidos por los poseedores del token $ARB, con poderes de emergencia para actualizar los contratos de la red si nueve de ellos están de acuerdo.
Utilizó esos poderes de una manera inusual el viernes. La Safe del consejo, una billetera compartida que requiere nueve firmas, envió una transacción de Ethereum que intercambió temporalmente el código del Inbox de Arbitrum, el contrato que transporta mensajes desde Ethereum hacia Arbitrum.
El código de reemplazo agregó una función llamada enviarAnulaciónTransacciónNoFirmada, lo que permitió al consejo enviar transacciones que Arbitrum trató como provenientes de la dirección del explotador.
Dos transacciones de este tipo trasladaron los $ARB y el ether a una dirección de custodia que termina en 0DA0, y el código original de Inbox fue restaurado en la misma transacción, según el aviso del consejo en el foro de gobernanza de Arbitrum.
“No se vieron afectados los fondos ni las aplicaciones de otros usuarios,” señaló el comunicado. Los fondos “solo pueden ser movidos mediante una votación de Gobernanza de ArbitrumDAO, la cual será coordinada con las partes relevantes.”
Firma de seguridad Zealynx rastreó las transacciones y dijo que los fondos llegaron a Arbitrum aproximadamente 10 minutos después de la transacción en Ethereum como transacciones tipo 0x65 con campos de firma en blanco, y utilizaron el propio contador de transacciones de la dirección del explotador.
El consejo “utilizó los poderes que le otorgó la DAO y publicó ambas acciones en menos de una hora y media,” escribió la firma, agregando que la suposición de que una dirección solo se mueve cuando su clave firma depende “de quien controle la ruta de actualización.”
