Arbitrum bevriest $189 miljoen aan ETH gekoppeld aan Binance-exploit

Om 8:08 uur HKT op 30 oktober bevroor Arbitrums Security Council 8.425 ETH en 74.559.805,2 ARB die gekoppeld zijn aan een exploit van een hot wallet van Binance, en hield beide bedragen vast op 0x0000000000000000000000000000000000000DA0; volgens het forum kunnen de middelen alleen worden verplaatst via een stemming van het ArbitrumDAO-bestuur. De actie is gedocumenteerd op het Arbitrum Foundation Forum.

Bij de door CoinGecko opgegeven koers van $2.245,94 komen de 8.425 ETH alleen al neer op $189.178.843,50. Er is geen ARB-koers beschikbaar in het bekende gegeven, dus het gecombineerde bedrag is op zijn minst dat, plus wat 74.559.805,2 ARB waard is op het moment dat u dit leest.

De Arbitrum Foundation was duidelijk: “Middelen die verband houden met de Binance-exploit zijn bevroren op Arbitrum One. Geen enkele andere gebruiker of applicatie is getroffen.” Ook bevestigde de organisatie dat de council “een noodmaatregel uitvoerde om 8.425 ETH en 74.559.805,2 ARB te bevriezen die op Arbitrum One werden aangehouden door een adres dat is geïdentificeerd met de Binance-exploit van vandaag.”

Binance’s incidentmelding wees niet in de richting van een gelekte private key. Het eerste onderzoek van het Binance-team wees uit dat “een gecompromitteerde laptop van een DevOps-engineer” een aanvaller toegang gaf tot een servicecontainer, waarmee die ongeautoriseerde opnametransacties kon indienen. “We hebben geen enkel bewijs gevonden van een lek van een wallet-private key,” aldus het bedrijf. Binance schatte de totale impact op ongeveer $6,3 miljard, zei dat ongeveer $3 miljard aan getroffen activa — circa 47,6% van het eigen schadecijfer — on-chain was bevroren, en verklaarde alle verliezen te zullen compenseren via het SAFU-fonds en bedrijfsmiddelen. Stortingen en opnames werden tijdelijk opgeschort.

De tijdlijn, afkomstig van het Aave-bestuursaccount, suggereert dat de inbreuk actief bleef nadat hulpverleners al waren ingeschakeld. De eerste verplaatsing vond plaats om 20:24 UTC op 29 oktober: een hot wallet van Binance stuurde ongeveer 63 tokens en 167.464 ETH naar één adres. Een tweede hot wallet volgde met nog eens 28.006 ETH naar de aanvaller. Middelen op Arbitrum, Optimism en Avalanche werden binnen enkele minuten verplaatst. Vervolgens kwam om 23:04 UTC — ruim twee uur na de eerste Ethereum-leegroof — nog eens 444.537 AVAX binnen op Avalanche.

Tussen 20:58 en 21:01 UTC leverde één wallet uit het cluster van de aanvaller 60 miljoen USDT$0,9989▼0,01% aan op Aave V3 Ethereum Core en leende daar 19.762 WETH mee. Over alle Aave-netwerken en -versies heen bevatte die positie $59,9 miljoen aan USDT-onderpand tegenover $43,8 miljoen aan schuld. Aave Governance omschreef dit als overgecollateraliseerd en onderworpen aan normale liquidatie: “Dit brengt de verstrekkers van Aave niet in gevaar.”

Aave’s reactie, gedocumenteerd op het Aave Governance Forum, was breed opgezet. Guardian-multisigs bevroren 175 reserves op Aave V3 verspreid over 16 netwerken en 117 reserves op Aave V4 verspreid over vier netwerken, en voerden die transacties uit tussen 21:42 en 23:04 UTC — na de leenactiviteit van de aanvaller, maar vóór het optreden van Arbitrums council. Ook werden de Slope2-parameters op V3 en V4 verlaagd, al bevat het beschikbare materiaal geen specifieke waarden of een gefaseerd ontdooischema. De Horizon RWA-markt bleef open; het onderpand daarvan is toegangsgebonden (permissioned).

Op de bevroren reserves kunnen gebruikers geen nieuwe supply- of leenposities openen, maar wel schulden aflossen en onderpand terugtrekken; de toegangsgebonden Horizon RWA-markt werd niet bevroren.

De exploit en de reactie daarop gingen gepaard met koersbewegingen, al is het oorzakelijk verband lastiger vast te stellen. Om 00:55 UTC stonden zowel BTC$78.047,00▼2,19% als ETH ongeveer 4% lager dan vóór de leegroof; AAVE en LINK daalden elk circa 9%, UNI circa 8% en ARB circa 6%. GHO zakte van ongeveer $0,998 naar $0,997 doordat houders tussen 21:49 en 22:07 UTC ongeveer 4,6 miljoen GHO inwisselden voor USDT.

De bevroren ETH en ARB blijven op het aangewezen adres staan; het feitenoverzicht geeft geen datum voor de vereiste bestuursstemming.