Arbitrum演了一出戏：9个人假装成黑客，把7000万刀“偷”回来了

$BTC ‌
Na semana passada, o KelpDAO foi roubado por hackers da Coreia do Norte, Lazarus Group, quase 3 bilhões de dólares, incluindo mais de 30 mil ETH na cadeia Arbitrum, avaliado em mais de 70 milhões de dólares. Todo mundo achou que esse dinheiro tinha ido embora.
$ETH ‌
Mas a Conselho de Segurança do Arbitrum entrou em ação. 9 pessoas assinaram uma assinatura múltipla, fizeram uma atualização temporária do contrato da ponte entre blockchains, e adicionaram uma função milagrosa: iniciar transações em nome de qualquer carteira, sem precisar de chave privada.
$RAVE ‌
Depois, eles falsificaram uma mensagem, enviando do endereço do hacker, com o conteúdo: “Transfira todo meu ETH.” A cadeia executou obedientemente, o dinheiro foi para um endereço de bloqueio. Atualização, falsificação, transferência, recuperação, uma única transação resolvida. O hacker não soube o que aconteceu do começo ao fim, os registros na cadeia pareciam que ele mesmo tinha operado.

Resumindo: 9 pessoas fizeram uma reunião, fingiram ser hackers, e “recuperaram” 70 milhões de dólares.

Resultado bom, método ousado

A comunidade ficou em polvorosa. Um lado dizendo que fizeram um ótimo trabalho, protegendo os ativos; o outro perguntando uma questão crucial — 9 pessoas podem assinar e transferir em nome de qualquer um, isso ainda é descentralizado? Griff Green, membro do Conselho de Segurança do Arbitrum, respondeu que essa decisão não foi tomada de forma leviana, os membros discutiram “por inúmeras horas” sob aspectos técnicos, práticos, morais e políticos, e só depois votaram.

Mas o problema não é quanto tempo eles discutiram, e sim o fato de terem esse poder. 9 assinaturas, atualização instantânea do contrato principal. Dessa vez, para perseguir hackers, e na próxima?

A palavra “descentralização” está cada vez mais parecendo um discurso de ocasião

Curiosamente, o Arbitrum não é exceção. Atualmente, quase todas as principais soluções de Layer 2 mantêm permissões de atualização de emergência semelhantes. Optimism tem uma equipe de 12 membros, Polygon permite múltiplas assinaturas para aplicar patches, MakerDAO possui um procedimento de parada de emergência. A cadeia que você usa provavelmente também tem esse grupo de pessoas, com uma chave universal. Isso não é invenção exclusiva do Arbitrum, é o padrão atual do Layer 2.

Chave esgotada, ela foi usada?

O Arbitrum afirma que, após a atualização do contrato, ele voltou ao estado original. A chave foi criada, uma vez abriu a porta, e depois foi usada para recuperar o dinheiro. Mas a “capacidade de criar chaves” ainda existe. Na próxima, esses 9 podem criar outra? Claro que podem. Essa é a função do Conselho de Segurança — agir em emergências. Mas quem define o que é “emergência”? Eles.

Mais realista

Os 292 milhões roubados, 70 milhões recuperados, menos de um quarto. O restante do ETH ainda está disperso em outras cadeias, e mais de 1 bilhão de dólares em dívidas ruins na Aave ainda não têm solução. Essa batalha ainda não acabou.

Resultado bom, método ousado. Dessa vez, para perseguir hackers, e na próxima, o que eles vão fazer?