Autor: Shenchao TechFlow
30 października 2026 r. o godz. 08:08 czasu pekińskiego Rada Bezpieczeństwa Arbitrum (Arbitrum Security Council) bez posiadania klucza prywatnego atakującego przeniosła 8 425 ETH i 74 559 805,2 ARB z adresów powiązanych ze sprawą kradzieży na Binance na Arbitrum One na adres, którym może rozporządzać wyłącznie w drodze głosowania ArbitrumDAO. Według obliczeń Shenchao TechFlow te aktywa były warte około 30,45 mln USD 3 listopada o godz. 15:54 (czas pekiński), co stanowi około 0,48% szacowanej kwoty wpływu wynoszącej około 6,3 mld USD w przypadku Binance.
Jak Rada Bezpieczeństwa przeniosła środki bez użycia klucza prywatnego
Według ogłoszenia Rady Bezpieczeństwa Arbitrum na forum Rada dokonała na Ethereum atomowej aktualizacji kontraktu Inbox: dodano funkcję sendUnsignedTransactionOverride, za pomocą której skonstruowano dwie transakcje cross-chain podszywające się pod transakcje wysłane z okradzionego adresu, przenosząc środki na 0x0000000000000000000000000000000000000DA0, a następnie przywrócono pierwotną implementację Inbox — wszystko w ramach tej samej transakcji na Ethereum, w bloku 26 301 886, 30 października o godz. 00:08:35 (UTC). W ogłoszeniu stwierdzono: „Żadne inne środki użytkowników ani aplikacje nie zostały dotknięte”.
Według CoinDesk Rada Bezpieczeństwa składa się z 12 członków wybranych przez posiadaczy ARB, a operacje awaryjne wymagają podpisów 9 z nich. Firma bezpieczeństwa Zealynx w analizie on-chain na forum Ethereum Magicians napisała, że około 10 minut po wykonaniu transakcji na Ethereum dwie transakcje typu 0x65 zostały zapisane w łańcuchu Arbitrum One, a pola podpisu r, s, v były w całości zerowe, zajmując drugi i trzeci nonce okradzionego adresu.
W Arbitrum o tym, czy środki danego adresu mogą zostać przeniesione, ostatecznie decydują podpisy 9 z 12 członków komitetu kontrolującego ścieżkę aktualizacji, a klucz prywatny jest tylko jedną z bram. Mówiąc słowami Zealynx, „adres porusza się tylko wtedy, gdy zostanie podpisany kluczem prywatnym” obowiązuje wyłącznie poniżej osób kontrolujących ścieżkę aktualizacji.
Zamrożono wszystkie skradzione aktywa Binance na Arbitrum
Według wcześniejszej analizy on-chain Shenchao TechFlow atakujący w dniach 30 października między godz. 05:35 a 05:38 czasu pekińskiego przenieśli wszystkie skradzione na Arbitrum środki Binance — 8 426 ETH i 74,6 mln ARB — na nowy portfel zaczynający się od 0x3e2b, i to właśnie ten adres Zealynx zarejestrował jako podszywającego się nadawcę. Według obliczeń Shenchao TechFlow Rada Bezpieczeństwa podjęła działania około 2,5 godziny po tym, jak środki trafiły do tego portfela, zamrażając wszystkie skradzione aktywa Binance w tym łańcuchu.
Shenchao TechFlow za pośrednictwem publicznego węzła Arbitrum ustaliło, że na dzień 3 listopada godz. 15:54 (czas pekiński) adres 0DA0 posiadał 8 426,05 ETH i 74 559 805,2 ARB. Według cen CoinGecko z tego samego momentu (ETH 2 255,38 USD, ARB 0,1535 USD) łącznie daje to około 30,45 mln USD.
Precedens z kwietnia: uwolnienie środków napotkało przeszkody prawne
| Zdarzenie zamrożenia | Czas wykonania | Zamrożone aktywa | Obecny status |
|---|---|---|---|
| Atak KelpDAO | 21 kwietnia godz. 23:26 czasu wschodniego USA | 30 765,67 ETH | Przekazane Aave w drodze głosowania DAO |
| Kradzież na Binance | 30 października godz. 08:08 czasu pekińskiego | 8 425 ETH, 74 559 805,2 ARB | Oczekuje na głosowanie DAO |
Według kwietniowego ogłoszenia na forum zamrożone wówczas ETH również trafiło na adres 0DA0, a 25 kwietnia pięć podmiotów, w tym Aave Labs, złożyło propozycję mającą na celu zrekompensowanie posiadaczom rsETH. Według CoinDesk to ETH było wówczas warte około 71 mln USD; rodziny posiadające wyroki odszkodowawcze przeciwko Korei Północnej za terroryzm próbowały rościć sobie prawa do tych środków, a DAO zagłosowało za przekazaniem środków Aave dopiero po tym, jak federalny sędzia na Manhattanie zmienił nakaz ograniczający. Według obliczeń Shenchao TechFlow oba zamrożenia łącznie objęły około 39 192 ETH.
Federalne Biuro Śledcze (FBI) 31 października przypisało sprawę kradzieży na Binance północnokoreańskiej grupie hakerskiej TraderTraitor. Forum zarządzania Arbitrum zwoła spotkanie dyskusyjne nad propozycją na 4 listopada godz. 00:00 czasu pekińskiego; niniejsza operacja awaryjna została wymieniona jedynie w punkcie „szybka aktualizacja”; na dzień 3 listopada godz. 16:00 (czas pekiński) na forum nie było jeszcze propozycji uwolnienia tych środków.
