Autor original: Shenchao TechFlow
Na semana passada, o KelpDAO foi hackeado e sofreu roubo de quase US$ 300 milhões, tornando-se o maior evento de segurança negativo no DeFi até agora este ano.
Os ETH roubados agora estão espalhados por várias cadeias, com cerca de 30.765 permanecendo em um endereço na cadeia Arbitrum, valendo mais de 70 milhões de dólares.
Esta história já parecia ter terminado, mas hoje saiu uma continuação.
De acordo com o monitoramento da instituição de segurança on-chain PeckShield, os fundos no endereço do hacker na cadeia Arbitrum foram transferidos algumas horas atrás, mas, estranhamente, esses fundos foram enviados para um endereço estranho composto quase inteiramente por zeros: 0x00000...
Todos estavam especulando: o hacker colocou todo o dinheiro em endereços de buraco negro e o queimou, ou teve um acesso de consciência ou foi recrutado?
Nenhum.
Há algumas horas, o fórum oficial do Arbitrum publicou um aviso de ação emergencial explicando a situação. Os fundos do hacker foram movidos pelo conselho de segurança do Arbitrum.
Porém, curiosamente, sem conhecer a chave privada do endereço do hacker, o conselho da Arbitrum nem congelou os fundos do hacker nem tinha permissão para transferi-los; em vez disso, enviou diretamente uma instrução de transferência "em nome do hacker".
O hacker não estava ciente, a chave privada não foi comprometida, e os registros na cadeia parecem ser operações feitas pelo próprio hacker.
O princípio por trás dessa operação é que todas as mensagens entre Arbitrum e Ethereum passam por um contrato ponte chamado Inbox. O conselho de segurança utilizou seus poderes de emergência para atualizar temporariamente esse contrato, adicionando uma nova função:
Enviar transações entre cadeias em nome de qualquer endereço de carteira, sem precisar da chave privada dessa carteira.
Em seguida, eles usaram essa função para falsificar uma mensagem, com o remetente listado como o endereço do hacker e o conteúdo dizendo: "Transfira todos os meus ETH para o endereço congelado". A cadeia Arbitrum recebeu a mensagem e a executou normalmente, resultando no estranho cenário mostrado no screenshot da transferência na cadeia.
Após transferir todo o dinheiro do hacker, o contrato é imediatamente revertido para a versão original. Atualização, falsificação, transferência e recuperação são todas realizadas em uma única transação Ethereum. Outros usuários e aplicações permanecem totalmente inalterados.
Esta operação não tem precedente na história do Arbitrum.
De acordo com o anúncio do fórum, o conselho confirmou previamente com as autoridades policiais a identidade do hacker, apontando para o grupo norte-coreano Lazarus Group, o grupo de hackers estatais mais ativo no espaço DeFi este ano. O conselho realizou uma avaliação técnica para garantir que não afetaria outros usuários antes de agir.
Como o hacker agiu primeiro de forma incorreta, essa abordagem tem um pouco o sentido de “não责怪 ninguém por não seguir as regras”. Quanto ao tratamento posterior dos ETH congelados, será necessário realizar uma votação de governança DAO no Arbitrum e coordenar com as autoridades policiais.
Recuperar os mais de 70 milhões de dólares roubados é, sem dúvida, algo positivo. Mas é importante notar que, para isso ser possível, basta que 9 dos 12 membros do Conselho de Segurança assinem para contornar todas as votações de governança e atualizar imediatamente, sem atraso, qualquer contrato central na cadeia.
Celebração dos resultados, preocupação com a capacidade?
Atualmente, a reação da comunidade a esse assunto está dividida.
Alguns acham que o Arbitrum se saiu bem, protegendo os ativos no momento crucial e aumentando um pouco a confiança nas L2. Outros fizeram uma pergunta direta: se nove pessoas precisam assinar para mover ativos em nome de qualquer um, isso ainda é descentralizado?
Eu acho que os dois não estão falando da mesma coisa.
O primeiro menciona o resultado, enquanto o segundo menciona a capacidade. O resultado desse evento é certamente positivo: mais de 70 milhões em fundos roubados foram recuperados. No entanto, a capacidade do Arbitrum de alterar funções de contrato por meio de assinatura múltipla é, por si só, neutra; o que será feito com ela no futuro, se será usada ou como será utilizada, depende realmente da governança do comitê.
No entanto, para a maioria dos usuários do Arbitrum, essa discussão pode ser menos prática do que outro fato: o Arbitrum não é único; quase todos os principais L2 atuais mantêm permissões de atualização de emergência semelhantes.
A cadeia que você está usando provavelmente também tem um conselho de segurança semelhante, com capacidades semelhantes. Isso não é uma escolha exclusiva do Arbitrum; quase todos os L2 têm esse design comum nesta fase.
Visto sob outra perspectiva, esse ataque e defesa na verdade revelou um quadro maior.
O atacante é o grupo norte-coreano Lazarus, responsável por pelo menos 18 ataques ao DeFi desde o início deste ano. Três semanas atrás, roubou US$ 285 milhões do Drift Protocol usando um método completamente diferente.
Enquanto hackers nacionais aprimoram constantemente suas técnicas de ataque, as L2 começam a usar permissões de nível inferior para contra-atacar. A guerra de segurança no DeFi está entrando em uma nova fase, além do "congelamento pós-ataque, apelos na cadeia e orações pela intervenção de white hats".
Em tempos excepcionais, criou-se uma chave universal para abrir o endereço do hacker e, após o término, fundiu-se a chave. Só por esse fato, ter capacidade para lidar com ataques de hackers não é ruim.
Mas se for necessário elevar a questão a uma discussão filosófica sobre “isso não é nada descentralizado”, há muitas coisas que se poderiam dizer. Existem inúmeras operações centralizadas no setor de criptomoedas; desta vez, pelo menos, está-se lidando com um evento negativo e resolvendo um problema, em vez de criá-lo.
Voltando a olhar de forma mais prática, o KelpDAO foi roubado de 292 milhões, e foram recuperados apenas 70 milhões, menos de um quarto do total. O restante do ETH ainda está espalhado em outras cadeias, e mais de 100 milhões de dólares em inadimplências na Aave ainda não foram resolvidas; ainda é incerto quanto os detentores de rsETH conseguirão recuperar.
Mesmo com o Arbitrum usando poderes divinos, esta batalha claramente ainda não acabou.