Arbitrum saisit 30 millions de dollars liés à l’exploit Binance

Le Security Council d’Arbitrum, composé de 12 membres, a déplacé plus de 8 425 ETH et 74 millions d’ARB, pour une valeur d’environ 30 millions de dollars, depuis une adresse liée à l’exploit de Binance, sans la signature de l’attaquant. Les actifs se trouvent désormais sur une adresse de dépôt et ne peuvent être déplacés qu’à l’issue d’un vote de gouvernance d’ArbitrumDAO.

Pourquoi c’est important

Le conseil a utilisé ses pouvoirs de mise à niveau d’urgence, qui nécessitent l’approbation de neuf de ses 12 membres. Il a temporairement remplacé le code du contrat Inbox d’Arbitrum par une fonction permettant au réseau de traiter des transactions comme si elles provenaient de l’adresse de l’exploitant, puis a rétabli le code d’origine au cours de la même transaction. Le conseil a indiqué que les fonds et les applications des autres utilisateurs n’avaient pas été affectés.

L’épisode met en lumière le compromis auquel fait face un réseau qui se présente comme décentralisé : les contrôles d’urgence peuvent aider à récupérer des actifs volés, mais la procédure de mise à niveau peut aussi contourner l’exigence habituelle selon laquelle la clé privée d’un portefeuille doit autoriser un transfert. La société de sécurité Zealynx a indiqué que le conseil avait agi en vertu des pouvoirs accordés par la DAO et avait rendu publiques les deux opérations en moins de 90 minutes. Elle a toutefois souligné que le contrôle de la procédure de mise à niveau peut remettre en cause le principe selon lequel seul le détenteur d’une clé peut déplacer des fonds.

Impact sur le marché

Les 30 millions de dollars récupérés représentent une somme modeste par rapport aux quelque 6,3 milliards de dollars dérobés à Binance. Il s’agit toutefois de la deuxième fois cette année que le conseil utilise ses pouvoirs pour déplacer des fonds depuis une adresse d’exploitant. En avril, il avait récupéré 30 766 ETH, alors évalués à environ 71 millions de dollars, auprès de l’exploitant de KelpDAO, après que les forces de l’ordre eurent identifié l’attaquant.

Cette première récupération avait mis plusieurs semaines à aboutir : des réclamations de familles détenant des jugements impayés liés au terrorisme contre la Corée du Nord ont conduit un juge fédéral de Manhattan à modifier une ordonnance de blocage, avant que la DAO puisse voter l’envoi des ETH à Aave. Les fonds récupérés cette fois-ci restent soumis à un vote de gouvernance et à une coordination avec les parties concernées.