Arbitrum Güvenlik Kurulu, Binance saldırganının 30 milyon dolarlık fonuna el koydu

Arbitrum Güvenlik Konseyi, acil durum yetkilerini kullanarak Binance saldırganına ilişkin bir adresten 30 milyon dolar pahasında kripto varlığa el koydu. Transfer, saldırganın özel anahtarına gereksinim duyulmadan, 12 kurul üyesinden dokuzunun onayıyla gerçekleştirildi.

• Arbitrum Güvenlik Konseyi, acil durum yetkileriyle Binance saldırganına ilişkin 30 milyon dolarlık ETH ve ARB token’ına el koydu.
• Konsey, süreci saldırganın özel anahtarı olmadan, dokuz üyenin onayıyla çekirdek bir mukaveleyi süreksiz olarak değiştirerek gerçekleştirdi.

Arbitrum Güvenlik Konseyi, geçen cuma günü Binance siber atağıyla kontaklı bir adresteki yaklaşık 30 milyon dolar pahasındaki kripto varlığı transfer etti. Saldırganın rastgele bir onayı yahut özel anahtarı olmadan yapılan süreç, 8.425 ETH ve 74 milyon ARB token’ını içeriyor. Bu adım, kurulun 12 üyesinden dokuzunun onayını gerektiren acil durum yetkileri kapsamında atıldı. Transfer edilen fonlar, Binance’ten çalınan toplam 6,3 milyar dolarlık varlığın küçük bir kısmını oluşturuyor.

İşlem özel yetkiyle nasıl yapıldı?

Arbitrum, Ethereum üzerinde çalışan ve daha ucuz süreçler sunan bir ağdır. Olağanda bir cüzdandaki fonların transferi, sırf cüzdan sahibinin bildiği özel anahtar ile imzalanan bir onayla mümkündür. Ancak Güvenlik Konseyi, bu kuralı aşmak için özel yetkilerini kullandı. Kurulun dokuz imza gerektiren ortak cüzdanı olan “Safe” üzerinden gönderilen tek bir Ethereum süreciyle, Arbitrum’un “Inbox” adlı temel mukavelesinin kodu süreksiz olarak değiştirildi.

Değiştirilen koda “_sendUnsignedTransactionOverride_” isminde yeni bir işlev eklendi. Bu işlev, kurulun saldırganın adresi ismine süreç göndermesine imkan tanıdı. Bu yolla iki farklı süreç gerçekleştirilerek ARB ve ETH, sonu 0DA0 ile biten bir emanet adresine taşındı. Kurulun yönetişim forumunda yayımlanan bildirime nazaran, süreçlerin tamamlanmasının çabucak akabinde özgün “Inbox” kodu geri yüklendi. Bildirimde, “Başka hiçbir kullanıcının fonu veya uygulaması etkilenmedi” tabirine yer verildi.

Merkeziyetsizlik tartışmaları ve güvenlik raporu

Bu operasyon, Arbitrum ağının merkeziyetsizlik prensibi hakkında kıymetli tartışmaları da beraberinde getirdi. Kurulun acil durum yetkileri, kullanıcıların fonları üzerindeki denetimini ortadan kaldırabilme potansiyelini gözler önüne serdi. Güvenlik firması Zealynx, süreçleri takip ederek fonların Ethereum süreci yapıldıktan yaklaşık 10 dakika sonra Arbitrum’a ulaştığını ve imza alanlarının boş olduğunu belirtti.

Firma, “Bir adresin sırf anahtarıyla süreç yapabileceği varsayımı, yükseltme yolunu denetim edenin insafına kalmıştır” yorumunu yaptı. Bu durum, kendisini merkeziyetsiz olarak tanıtan bir ağ için değerli bir istisna teşkil ediyor. Zealynx, kurulun DAO tarafından verilen yetkileri kullandığını ve hareketlerini bir buçuk saat içinde kamuoyuna duyurduğunu da ekledi.

Daha evvel de yaşanmıştı: 71 milyon dolarlık KelpDAO vakası

Arbitrum Güvenlik Konseyi, bu yıl içinde ikinci kere benzeri bir operasyon gerçekleştirdi. Nisan ayında kurul, KelpDAO saldırganına ilişkin bir adresten o dönemki kıymetiyle yaklaşık 71 milyon dolar olan 30.766 ETH’ye el koymuştu. Bu operasyon, emniyet güçlerinin saldırganı tespit etmesinin akabinde yapılmıştı. Fakat fonların emanet adresinden çıkarılması haftalar süren yasal süreçlere takıldı.

Kuzey Kore aleyhine verilmiş terör tazminatı kararları bulunan aileler, fonlar üzerinde hak argüman etmeye çalıştı. Sürecin sonunda Manhattan’daki bir federal yargıcın kısıtlama kararını değiştirmesi gerekti. Fakat bundan sonra ArbitrumDAO, fonların Aave’e gönderilmesi için oylama başlatabildi.

Fonların geleceği ve FBI raporu

Binance saldırganından ele geçirilen 30 milyon dolarlık fonlar, şu anda bir emanet adresinde tutuluyor. Bu fonların sonu, sırf ArbitrumDAO tarafından yapılacak bir yönetişim oylamasıyla belirlenecek. Kurul, sürecin “ilgili taraflarla uyum içinde” yürütüleceğini açıkladı. FBI, 31 Ekim’de Binance saldırısının arkasında Kuzey Kore temaslı TraderTraitor kümesinin olduğunu açıklamıştı. Bu durum, KelpDAO vakasındakine benzeri yasal süreçlerin yaşanma ihtimalini gündeme getiriyor.

Kaynak: CoinDesk

Kaynak: {Haber Merkezi}