Nakauwi ng $70M sa mga ninakaw na pera ang Arbitrum gamit ang emergency protocol

Original author: Shenchao TechFlow

Noong nakaraang linggo, kinuha ng mga hacker ng KelpDAO ang halos $300 milyon, naging pinakamalaking negatibong pangyayari sa seguridad sa DeFi hanggang ngayon sa taong ito.

Ang nakuha na ETH ay nakalat sa maraming mga chain, kung saan ang halos 30,765 ay nananatili sa isang address sa Arbitrum chain, na may halagang higit sa $70 milyon.

Akala namin ay tapos na ang kwento, ngayon ay may sekuela ulit.

Ayon sa pagmamasid ng chain security agency na PeckShield, ang pera sa address ng hacker sa Arbitrum ay nalikom ilang oras na ang nakalipas, ngunit kakaibang bagay ay ang pera ay isinapindot sa isang kakaibang address na 0x00000... na tila puno ng mga zero.

Noong panahong iyon, lahat ay naghuhula: ba't inilagay ng hacker ang pera sa black hole address at sinunog ito? O ba'y nagkaroon ng puso o tinanggap ang pagpapatawad?

Hindi pareho.

Ilang oras na ang nakalipas, ang opisyal na forum ng Arbitrum ay nag-post ng isang emergency notice na nagpaliwanag sa sitwasyon. Ang pera ng hacker ay inilipat ng Security Council ng Arbitrum.

Gayunpaman, ang kakaibang bagay ay, nang walang kaalaman sa private key ng hacker address, ang Arbitrum Council ay hindi nag-freeze ng pera ng hacker, ni hindi may karapatan mag-transfer, kundi direktang naglabas ng isang instruction para mag-transfer “sa pangalan ng hacker”.

Hindi alam ng hacker mismo, hindi na-leak ang private key, at ang record sa chain ay tila ginawa ng hacker mismo.

Ang prinsipyo sa pagpapatupad ng operasyong ito ay ang lahat ng cross-chain message sa pagitan ng Arbitrum at Ethereum ay dadaan sa isang bridge contract na tinatawag na Inbox. Ang Security Council ay gumamit ng emergency na awtoridad upang pansamantalang i-upgrade ang contract at idagdag ang isang bagong function:

Ipinapadala ang cross-chain transaction sa pangalan ng anumang wallet address, ngunit hindi kailangan ng private key ng wallet na iyon.

Pagkatapos ay ginamit nila ang function na ito upang magpapadala ng isang pekeng mensahe, kung saan ang tagapagpadala ay isinulat bilang ang wallet ng hacker, at ang nilalaman ay “I-transfer ang lahat ng aking ETH sa frozen address.” Pagkatapos ay sinunod nang karaniwan ng chain ng Arbitrum, kaya nagresulta ito sa kakaibang eksena sa screenshot ng on-chain transfer.

Pagkatapos ilipat ang pera ng hacker, agad na bawasan ang kontrato pabalik sa orihinal na bersyon. Ang pag-upgrade, pagpapalit, paglipat, at pagbabalik ay lahat ay nalalaman sa isang solong Ethereum transaction. Walang epekto sa iba pang mga user at aplikasyon.

Hindi mayroong ganitong pagkilos sa kasaysayan ng Arbitrum.

Ayon sa pahayag sa forum, ang Security Council ay nagsagawa ng pagkakaayos na may mga ahensya ng pagpapatupad ng batas upang matiyak ang pagkakakilanlan ng hacker, na nagtuturo sa Lazarus Group ng Korea ng Hilaga, ang pinakamalikhaing pambansang hacker group sa larangan ng DeFi sa taong ito. Ang council ay nagbigay ng teknikal na pagtataya upang siguraduhing hindi maapektuhan ang iba pang mga user bago gawin ang aksyon.

Dahil ang hacker ang una nang nagkakasala, ang paraang ito ay may katulad na kahulugan na “hindi dapat iwanan ang lahat ng pagiging maayos.” Tungkol sa pagpapahinga ng ETH, kailangang lumipat sa pagboto ng DAO ng Arbitrum at magcoordinasyon sa mga ahensya ng batas.

Ang pagbabalik ng higit sa 70 milyong natayong pera ay siguradong magandang balita. Ngunit mahalaga ang kondisyon para dito: kung may 9 na miyembro sa Security Council ang sumigna, maaaring i-bypass ang lahat ng pagboto sa pamamahala at i-upgrade nang walang delay anumang pangunahing kontrato sa chain.

Kasalukuyan, ang reaksyon ng komunidad sa isyu na ito ay nahahati-hati.

Ang ilan ay naniniwala na magaling ang ginawa ng Arbitrum, lalo na sa panahon ng kritikal na pagkakataon upang protektahan ang mga asset, at nagdagdag ito ng tiwala sa L2. Samantala, ang iba ay nagtanong ng isang diretso na tanong: Kung ang 9 na tao ang kayang mag-sign upang gumalaw ng anumang asset sa pangalan ng sinuman, paano pa ito maituturing na decentralizado?

Sa palagay ko, ang dalawang panig ay hindi nag-uusap tungkol sa parehong bagay.

Ang una ay nagsasalita tungkol sa resulta, habang ang pangalawa ay nagsasalita tungkol sa kakayahan. Ang resulta ng sitwasyong ito ay tiyak na mabuti—napagbalik ang higit sa 70 milyong dolyar na tinapay. Gayunpaman, ang kakayahan ng Arbitrum na baguhin ang mga punsiyon ng kontrata gamit ang multi-signature ay medyo neutral lamang; kung ano ang gagawin nito sa hinaharap, kung pwede ito gawin, at paano ito gagawin, ay depende sa pamamahala ng komite.

Gayunpaman, para sa karamihan sa mga gumagamit ng Arbitrum, ang diskusyon na ito ay maaaring hindi ganoon kahalaga kaysa sa isang ibang katotohanan: ang Arbitrum ay hindi espesyal, dahil ang mga pangunahing L2 sa kasalukuyan ay kumikilala sa parehong uri ng emergency upgrade rights.

Ang chain na ginagamit mo ay may malaking posibilidad na may katulad na security council na may katulad na kapasidad. Ito ay hindi eksklusibong pagpili ng Arbitrum; halos lahat ng L2 sa kasalukuyang yugto ay may karaniwang disenyo na ito.

Sa isang ibang pananaw, ang pag-atake at pagtatanggol na ito ay nagpalabas ng isang mas malaking larawan.

Ang mga attacker ay ang Lazarus Group mula sa Hilagang Korea, na kinikilala sa loob ng taong ito bilang responsable sa hindi bababa sa 18 DeFi attack. Tatlo linggo na ang nakalipas, sila ay nagsakop ng $285 milyon mula sa Drift Protocol gamit ang isang lubos na iba’t ibang paraan.

Sa isang gilid, ang mga hacker na may pagsuporta ng gobyerno ay patuloy na papaunlad ang kanilang mga paraan ng pag-atake, habang sa ibang gilid, ang L2 ay nagsisimula nang gumamit ng mga pagsasakop sa ilalim na antas para tumugon. Ang labanan para sa seguridad ng DeFi ay pumasok sa isang bagong yugto mula sa "pagpapahinga ng mga pondo pagkatapos, pagpapahayag sa blockchain, at paghingi ng tulong mula sa mga white hat."

Sa panahon ng krisis, ginawa ang isang pambansang susi upang buksan ang address ng hacker, at pagkatapos ay sinunog ang susi. Sa ilalim ng isang bagay lamang, ang kakayahang tumugon sa pag-atake ng hacker ay hindi masama.

Kung kailangang i-escalate ang usapin sa isang pilosopikal na pag-uusap na “hindi ito decentralize nang husto,” maraming maaaring sabihin. Marami ang sentralisadong operasyon sa industriya ng cryptocurrency, at sa pagkakataong ito, kahit na ito ay isang pagharap sa negatibong pangyayari at paglutas ng problema, hindi ito paggawa ng negatibong pangyayari.

Tingnan nating muling praktikal: Ang nawawalang halaga mula sa KelpDAO ay 292 milyon, at ang nakuha ay humigit-kumulang 70 milyon lamang—mas mababa sa isang-kwarter ng kabuuang halaga. Ang natitirang ETH ay nananatiling nakalat sa iba’t ibang mga chain, at ang higit sa 100 milyong dolyar na masamang utang sa Aave ay hindi pa nakakakuha ng solusyon—ang halaga na maaaring makuha ng mga tagapag-iiwan ng rsETH ay patuloy na hindi malinaw.

Kahit na gumamit ang Arbitrum ng divine power, malinaw na hindi pa tapos ang laban.