Автор: Deep Tide TechFlow
На прошлой неделе KelpDAO был взломан почти на 300 миллионов долларов, что стало крупнейшим негативным инцидентом в сфере безопасности DeFi в этом году.
Украденные ETH сейчас разбросаны по нескольким блокчейнам, и примерно 30 765 из них остались на адресе в сети Arbitrum, стоимостью более 70 миллионов долларов.
Казалось, что эта история уже закончилась, но сегодня у неё появилось продолжение.
По данным мониторинга компании безопасности блокчейна PeckShield, средства с хакерского адреса в сети Arbitrum были переведены несколько часов назад, но, что странно, они были отправлены на странный адрес, который выглядит почти полностью нулевым: 0x00000...
Все гадали: хакер сам сжёг деньги, отправив их на адрес-чёрную дыру? Или у него проснулась совесть, или его «приручили»?
Ни то, ни другое.
Несколько часов назад на официальном форуме Arbitrum было опубликовано экстренное сообщение, объясняющее ситуацию. Деньги хакера были переведены Советом по безопасности Arbitrum.
Однако удивительно то, что, не зная приватного ключа хакерского адреса, Совет Arbitrum не заморозил средства хакера и не имел прав для перевода, а вместо этого просто отправил инструкцию на перевод «от имени хакера».
Сам хакер ничего не знал, приватный ключ не был скомпрометирован, а запись в блокчейне выглядела так, как будто операцию совершил он сам.
Принцип реализации этой операции заключается в том, что все межсетевые сообщения между Arbitrum и Ethereum проходят через контракт моста под названием Inbox. Совет безопасности использовал свои чрезвычайные полномочия для временного обновления этого контракта, добавив новую функцию:
Отправлять межсетевые транзакции от имени любого адреса кошелька, но без необходимости в его приватном ключе.
Затем они использовали эту функцию, чтобы подделать сообщение, где отправителем был указан кошелёк хакера, а содержание гласило: «Перевести все мои ETH на адрес для заморозки». Сеть Arbitrum получила его и выполнила как обычно, что и привело к странной сцене на скриншоте перевода выше.
После перевода средств хакера контракт немедленно был возвращён к исходной версии. Обновление, подделка, перевод, восстановление — всё было выполнено в одной транзакции Ethereum. Другие пользователи и приложения совершенно не пострадали.
Подобная операция не имеет прецедентов в истории Arbitrum.
Согласно сообщению на форуме, Совет по безопасности заранее подтвердил личность хакера у правоохранительных органов, которая указала на Lazarus Group — северокорейскую группу, наиболее активную в сфере DeFi в этом году. Совет провёл техническую оценку, чтобы убедиться, что другие пользователи не пострадают, и только затем действовал.
Поскольку хакер изначально поступил неправильно, этот ход немного похож на «не сердись, что мы играем не по правилам». Что касается дальнейших действий с замороженными ETH, это будет решаться через голосование DAO Arbitrum и координацию с правоохранительными органами.
Вернуть более 70 миллионов украденных средств — это, конечно, хорошо. Но важно отметить предпосылку этого события: 9 из 12 членов Совета безопасности могут, подписав документы, обойти все голосования по управлению и с нулевой задержкой обновить любой ключевой контракт в сети.
Хвалят результат, но беспокоятся о возможностях?
В настоящее время реакция сообщества на это событие неоднозначна.
Одни считают, что Arbitrum поступил brilliantly, защитив активы в критический момент, что даже добавило немного уверенности в L2. Другие задают прямой вопрос: если 9 человек могут, подписав, распоряжаться любыми активами от имени кого угодно, можно ли это называть децентрализацией?
По мнению автора, стороны говорят, по сути, о разных вещах.
Первые говорят о результате, вторые — о возможностях. Результат этого события, безусловно, хорош — возвращено более 70 миллионов украденных средств. Но саманная способность Arbitrum изменять функции контрактов через мультиподпись в данном случае нейтральна; то, для чего это будет использоваться в будущем, можно ли это делать и как, фактически зависит от управления комитетом.
Однако для большинства пользователей Arbitrum это обсуждение может быть менее актуальным, чем другой факт. Arbitrum не уникален, почти все основные L2 на данный момент сохраняют аналогичные права на экстренное обновление.
Скорее всего, в используемой вами цепи также есть аналогичный Совет безопасности с аналогичными возможностями. Это не уникальный выбор Arbitrum, это общая конструкция для L2 на данном этапе.
Если взглянуть под другим углом, эта атака и защита на самом деле обнажают более широкую картину.
Атакующей стороной является северокорейская Lazarus Group, которой с начала года приписывают не менее 18 атак на DeFi. Три недели назад они украли 285 миллионов долларов у Drift Protocol, используя совершенно другой метод.
С одной стороны, государственные хакеры постоянно совершенствуют методы атак, с другой — L2 начинают использовать базовые права для контратаки. Война за безопасность в DeFi переходит от «последующей заморозки, общения в блокчейне и молитв о вмешательстве белых хакеров» на новый этап.
В чрезвычайной ситуации создали универсальный ключ, открыли адрес хакера, а после расплавили ключ. Если говорить только об этом инциденте, то способность противостоять хакерским атакам — это неплохо.
А если обязательно возводить это до философской дискуссии «это совсем не децентрализовано», то можно сказать очень многое. В криптоиндустрии хватает централизованных операций, но здесь, по крайней мере, обрабатывается негативное событие и решается проблема, а не создаётся негативное событие.
Если вернуться к практической стороне, KelpDAO был украден 292 миллиона, возвращено чуть более 70 миллионов, что составляет менее четверти от общей суммы. Остальные ETH всё ещё разбросаны по другим блокчейнам, плохой долг на сумму более 100 миллионов долларов в Aave ещё не погашен, и неизвестно, сколько смогут вернуть держатели rsETH.
Даже несмотря на то, что Arbitrum задействовал права «бога», эта битва явно ещё далека от завершения.
