Arbitrum 轉移幣安被盜資金，歸還與否交由治理投票決定

Arbitrum 的安全委員會使用了一次臨時合約升級，來轉移與 Binance 駭客事件相關的加密貨幣。其緊急行動阻止了攻擊者轉移這些資產，但決定這些資產的去向則屬於另一個獨立的治理流程。

Arbitrum 的安全委員會已將與 Binance 駭客事件相關的 8,425 ETH 和 74,559,805.2 ARB 轉移到一個持有地址，該地址的資金需要經過 DAO 治理投票才能再次轉移。

Arbitrum 的緊急行動公告表示，該干預行動發生於 10 月 30 日香港時間 08:08。貢獻者準備了對該網路以太坊收件匣合約的臨時變更，委員會成員驗證並簽署了該變更，並在轉移完成後恢復了原始實作。

該行動之所以引起關注，是因為它不需要攻擊者的私鑰。Arbitrum 利用對其自身基礎設施的權限，創建了在 Arbitrum One 上轉移這些資產的訊息。

其公開公告將結果描述為凍結，並將進一步的轉移保留給 ArbitrumDAO 治理。因此，將資金從漏洞利用者手中移走與將其返還給有權接收者，是兩個獨立的決定。

Arbitrum 的干預使用了高於錢包的權限

普通的加密貨幣支付由發送資金的帳戶授權。Arbitrum 的事件公告描述了一條特殊途徑：對決定以太坊訊息如何在該 rollup 上處理的基礎設施進行變更。

新增的函數 sendUnsignedTransactionOverride 可以冒充發送者來模擬跨鏈交易。兩條訊息將 ETH 和 ARB 從被識別的地址轉移到以 0DA0 結尾的持有地址。

這裡的區別在於：入侵攻擊者的密鑰，與利用對該帳戶所在系統的管理權限，是兩回事。Arbitrum 公布的解釋描述的是後者。

其憲章將鏈所有者特權授予 DAO 和安全委員會。這些特權包括更改核心協議實作和參數，包括以太坊上的相關合約。

鏈所有者角色位於特定應用程式規則之上。它是 Arbitrum 治理架構的一部分，因此其可用的權力不能僅從用戶錢包中可見的權限來推斷。

以太坊為該管理交易提供了場所，而資產則持有在 Arbitrum One 上。該事件並未展示出改寫無關以太坊帳戶或從其他網路取走原生比特幣的權力。

Arbitrum 的開發者文件解釋，父鏈訊息透過收件匣基礎設施進入該 rollup。當排序器不可用或未包含用戶交易時，用戶可以透過延遲收件匣發送交易。

該普通訊息路徑與事件中的臨時覆寫應加以區分。普通用戶對延遲收件匣的存取權限，並不授予為緊急行動而創建的特殊發送者冒充權限。

安全委員會的干預之所以可行，是因為它可以批准對相關合約的升級。程式碼變更提供了特殊功能；攻擊者的錢包並未自願批准該轉移。

因此，錢包所有者擁有私鑰僅描述了安全安排的一部分。在可升級系統上，用戶還依賴於管理權限如何分配和約束。

臨時升級將救援與恢復捆綁在一起

Arbitrum 表示，該升級、轉帳與恢復構成了一個原子操作。就交易而言，這些操作被捆綁在一起，使得緊急實施在操作完成後並不打算繼續作為活躍的實施方案。

Arbitrum 的公告將該管理交易標識為 0xb69c81774f507d46ce776aeaed8b4d31df96dd66ce6fd05073481011835355d6。該聲明將這些操作與目的地同對其法律效力的任何解釋分開標識。

恢復先前的實施方案，從該交易之後所使用的活躍實施方案中移除了該特殊功能。它並未移除底層的升級權限，而正是該權限允許理事會引入該功能。

若在此限度內使用，一個類比是有用的：撤回一項臨時指令並不會廢除有權發布另一項指令的機構。評估未來干預風險的用戶既需要常設的治理規則，也需要臨時代碼的存續期限。

該基金會的治理架構描述了升級執行器以及獲授權調用它們的實體。緊急權限與較慢的 DAO 途徑是達成特權合約操作的不同方式。

技術記錄可以確定安裝並恢復了哪個實施方案，以及創建了哪些訊息。它並不能獨立判定某個地址是否被正確識別為持有被盜財產。

該識別取決於事件證據以及對其進行評估的行為者。Arbitrum 的公告將該地址標識為與 Binance 漏洞利用相關聯，並聲明其他用戶的資金與應用程式未受影響。

已公布行動的狹窄範圍具有相關性。理事會針對其治理鏈上已識別的資產；它並未宣布對盜竊期間所有活動進行全網回滾。

對於核查恢復情況的讀者而言，三項資訊應放在一起：已執行的管理交易、其引發的轉帳，以及之後持有合約的狀態。僅憑餘額的截圖無法解釋轉移它的權限。

同樣的方法適用於任何後續釋放。治理結果、可執行指令與已完成的轉帳構成證據鏈；某一階段的批准並非所有後續階段均已發生的證明。

九名簽署者可在完整 DAO 投票前採取行動

安全理事會有 12 名成員，緊急行動需要 9 項批准。治理常見問題將此即時途徑與用於普通提案的較長序列區分開來。

12 人中的 9 人即 75% 的簽署門檻。它允許在 3 名成員缺席或反對的情況下推進行動，而若其他 8 人支持，4 名成員拒絕批准將阻止達到該門檻。

此算術描述的是批准規則，而非相關人員的獨立性。獨立性取決於隸屬關係、利益衝突、密鑰控制，以及所謂獨立的簽署者在實踐中是否可能被同一方指示。

Arbitrum 公布了其理事會成員名單，包括成員的專業背景與分組指派。該名單使用戶能夠識別決策者，而非將「理事會」視為一個匿名的技術服務。

其章程要求在緊急行動後進行透明度報告，並將緊急授權限於真正的安全緊急情況。DAO 可透過憲法提案流程修改或取消理事會的權力。

較快的途徑有明確的運營理由。等待完整的代幣投票可能會在代表們討論提案且投票窗口運行期間，使資金可供攻擊者使用。

Arbitrum 的漸進式去中心化說明將該委員會描述為在治理發展期間應對關鍵緊急情況的機制。它將快速響應與分散式治理呈現為同一架構的組成部分。

相反的擔憂記錄在 L2BEAT 的Arbitrum 評估中，該評估將即時升級權限視為一項重大的信任假設。其第一階段分類允許安全委員會介入；這並不意味著每一項重要操作都超出人為裁量範圍。

這些記述從不同角度描述了同一項權限。Arbitrum 強調應對關鍵事件的能力，而風險評估則指出若享有特權的決策者惡意行事或其密鑰遭洩露所產生的後果。

幣安的操作展示了針對疑似被盜資產的一次介入。評估該架構需要考慮誰能夠批准另一次介入，以及對該權限適用哪些可執行的限制。

凍結資金與選擇接收方有不同的期限

緊急凍結回答的是一個即時問題：能否阻止已識別的資產離開該系統？釋放回答的則是另一個問題：應由哪個接收方接收這些資產，依據什麼證據，透過什麼指令？

幣安的通知明確了治理要求，但並未設定客戶賠付期限。DAO 投票必須圍繞一個擬議目的地和一項可執行操作來準備，之後才能確定下一步。

儘管如此，初始介入的時間點可以從兩份事件通知中計算得出。幣安將盜竊的開始時間定為 10 月 29 日 20:05 UTC；10 月 30 日 08:08 HKT 即 00:08 UTC，間隔約 4 小時 3 分鐘。

該計算涉及所報告盜竊的開始時間與 Arbitrum 所述的行動時間。它並非衡量委員會在收到警報後花了多長時間才採取行動，因為通知並未說明該警報何時到達。

它也無法證明在那些小時內，更廣泛駭客事件中的所有資產都仍可追回。此次介入針對的是 Arbitrum One 上已識別的持倉，而盜竊及隨後的轉移涉及其他網路。

因此，凍結所經過的時間與賠付所經過的時間需要各自獨立的起始與結束事件。後者需要完成向授權接收方的返還，而不僅僅是宣布資產已被凍結。

一份註明日期的提案將提供該時間順序的下一部分，隨後是其投票、適用的等待期和執行。在這些事件發生之前，凍結時間戳並不能為客戶提供自動的付款日期。

Arbitrum 的提案投票指南區分了討論、鏈下信號和正式鏈上投票。一個正面的討論串或溫度檢查與透過治理合約執行並非同一事件。

憲章另行將更改軟體或需要鏈所有者權限的提案歸類為憲法性提案。它為這些提案設定了投票、等待和實施階段，適用路線取決於提案實際所做的內容。

因此，一項轉移提案需要比「資金應予返還」的聲明更多的細節。接收地址、金額、權限及任何條件都必須與要求選民批准的指令相符。

這種精確性對於涉及交易所的追回尤為相關。幣安已承諾使用公司資源賠付客戶，因此追回資產的接收方可能是該交易所或另一項授權的追回安排，而非每個帳戶持有人直接獲得鏈上分配。

其資產替換計劃在原始資產仍被凍結於他處的情況下繼續推進。因此，追回所得與客戶負債需要進行對賬，以免同一筆金額被呈現為兩筆獨立的補償。

設想一家假設的交易所動用其自有資金替換了100枚被盜代幣。如果某個DAO隨後歸還了20枚原始代幣，客戶並未獲得120枚代幣的賠償；交易所只是收回了恢復原始100枚代幣負債的部分成本。

如果這些代幣尚未被替換，同樣的追回款項反而可能減少尚未清償的客戶缺口。正確的描述取決於轉賬發生時的實際負債與還款安排。

決策過程應當讓這些安排清晰可見。追回地址標明了資產在鏈上的去向，而隨附文件則說明了由誰控制該地址，以及該筆轉賬旨在清償誰的債權。

KelpDAO救援事件已表明哪些因素可能延誤返還

在4月KelpDAO漏洞利用事件之後，Arbitrum採取了類似的干預措施。其4月行動通知確認有30,765.667501709008927568 ETH被轉入同一持有地址，並表示治理層需要授權才能釋放。

正如crypto.news此前報導的那樣，該委員會凍結了與Kelp相關的ETH，但並未宣布對其他用戶或應用造成普遍中斷。當時引用的價值約為7100萬美元。

隨後的階段涉及一項為rsETH持有者提出的協調追回方案。Aave Labs、KelpDAO、LayerZero、EtherFi和Compound共同撰寫了4月25日釋放提案。

其既定目標是將被凍結的ETH用於恢復rsETH的儲備支持。該提案明確指出，這些資產已被凍結，而其去向則是剩餘的治理問題。

隨後法律主張使這一過程複雜化。5月1日的一份限制通知，在關於法院限制令的報導中有所描述，涉及恐怖主義判決債權人的主張，他們認為這些資產可用於履行針對朝鮮的判決。

重要的歷史區別在於該指控與已確立的權屬裁決之間。將漏洞利用歸因於國家關聯行為者，本身並不能回答關於從另一方取得的資產的所有財產問題。

5月8日的治理投票報導描述了對追回提案和賠償條款的強烈支持。對該計劃的支持與實施者所面臨的法律風險，正通過不同的安排加以處理。

公開論壇中經修訂的討論隨後提到，在司法監督下將資產轉入Aave LLC託管。5月的這一討論屬於歷史背景，而非證明幣安資產如今面臨相同主張或法院程序的證據。

這一比較揭示了一個已得到證實的延誤來源：委員會可以在合法接收方和合法轉移路徑確定之前，先將資產從攻擊者的直接控制中移除。初始凍結的速度並不自動意味著存在固定的返還時間表。

因此，將KelpDAO追回事件的法律狀態套用到幣安新的持有資產上為時過早。適用的提案及任何實際法律命令必須明確其涉及哪些資產和當事方。

一個持有地址可能包含多筆追回款項

Arbitrum的通知確認，幣安和KelpDAO行動的同一目的地均以0DA0結尾。這使得轉賬記錄和資產歸屬在讀者試圖通過區塊瀏覽器追蹤追回款項時尤為重要。

顯示的ETH餘額是查詢時該地址的總額。若無交易歷史和相關限制條件，它無法表明哪一部分屬於哪一事件，也無法表明先前的分配是否已經發生變化。

因此，幣安通知中的8,425 ETH才是需要追蹤的特定事件數量。用持有地址當前的全部ETH餘額來替代，可能會混入無關的流入、剩餘持倉或後續交易。

ARB 餘額需要其自身的代幣轉帳記錄。將原生 ETH 與代幣數量相加，除非兩者都使用已披露的價格和時間戳進行估值，否則不會產生任何有用的單一數量。

例如，對 Binance 分配額的估值將是 8,425 乘以所選的 ETH 價格，加上 74,559,805.2 乘以所選的 ARB 價格。當任一價格變動時，即使沒有任何代幣離開持有地址，該金額也會發生變化。

以 ETH 價格 $2,200 和 ARB 價格 $0.16 為例，該公式產生的結果約為 3,046 萬美元。這些是假設性的估值輸入，而非報價市場價格或 Arbitrum 對損失的會計處理。

該計算解釋了為什麼美元標題數字可以變動，而追回數量保持不變。報告代幣數量可為追回記錄保留一個穩定的參考。

類似的區分適用於費用和交易計數。一筆管理性 Ethereum 交易可以在 rollup 上創建多條訊息和轉帳，因此僅計算父鏈交易並不能描述所有由此產生的資產移動。

該網絡的交易生命週期文檔將父鏈和子鏈上的提交與納入區分開來。審查一次干預需要遵循這種關係，而不是將兩條鏈視為重複追回的獨立證據。

因此，對讀者有用的記錄是針對具體事件的：原始地址、轉移數量、持有目的地、釋放授權和最終接收者。每一項都回答了資產去向的不同部分。

自我託管與網絡治理涵蓋不同的權力

自我託管意味著用戶控制通常授權從帳戶發起交易所需的憑證。它並不承諾該帳戶所在的每條區塊鏈都具有不可變規則或沒有管理權限。

Arbitrum 已公佈的架構包括排序器、驗證與爭議機制、升級權限和治理。每個組件處理交易如何被接受以及系統如何變化的不同部分。

其排序器文檔描述了當排序器故障或審查訊息時的替代納入安排。這些保護措施處理協議規則內的交易排序和可用性。

緊急軟件升級涉及規則和特權合約本身。繞過不可用排序器的途徑並不能消除授權治理參與者更改可升級實現的獨立能力。

OpenZeppelin 的存取控制文檔在合約層面做出了相關區分。所有權和角色決定哪些帳戶可以調用特權函數，而時間鎖可以延遲分配給它的操作。

實際的安全問題是這些權限導向何處。一個應用程式可以使用多重簽名，而更高層級的網絡合約仍可通過一組獨立的簽署者進行升級，每個簽署者都有自己的規則。

Aave 在其治理文檔中提供了一個有用的對比。它將協議緊急守護者與治理緊急守護者區分開來，將不同的干預授權分配給不同的機構。

這種分離並不能證明每個使用守護者的系統都同樣安全。它說明了為什麼角色名稱不如其可以調用的確切函數、所需的批准以及更換它的流程更具信息量。

Binance 漏洞利用本身涉及另一種權限。調查人員在Ethereum 攻擊序列中描述了有效的錢包授權，而 Arbitrum 的追回在資產到達其鏈後使用了網絡管理路徑。

這兩個事件不應被壓縮為私鑰不再重要的主張。它們表明簽名權限、委託帳戶行為和網絡升級權限是資產安全環境的不同組成部分。

理事會成員資格與簽名密鑰需要分別審查

公開名冊標識的是人員，而多重簽名需要來自特定密鑰的簽名。兩份記錄都相關：成員頁面上的名字本身並不能表明某個密鑰在事件期間被安全持有或可用。

Arbitrum 的成員職責要求落實營運安全，包括專為該角色配備一個全新的硬體錢包。已公布的期望包括在組織、地點和時區上保持多樣性，以支持獨立性和快速回應。

這兩項目標可能指向不同的營運方向。簽署人需要足夠的隔離以抵禦常見的入侵，同時又必須有足夠多的人可被聯繫到，以便在緊急情況發生時達到門檻。

12 人中 9 人的規則並不能消除這種協調問題。如果有 3 名成員無法參與，則其餘每位成員都必須批准，行動才能繼續；如果有 4 名成員無法參與，就無法達到即時簽署門檻。

這是一項可用性計算，而非任一事件在 Binance 應對期間確實發生的證據。已公布的交易記錄了一次確實得以繼續推進的干預行動。

理事會概覽描述了選舉與罷免安排。其中指出，成員可透過符合適用參與度和絕對多數條件的 DAO 投票被罷免，或經至少 9 名理事會成員批准被罷免。

罷免一名決策者與撤銷一項合約權限是不同的行為。行政系統必須確保在選舉、辭職或替換之後，權限與獲授權的成員身份相對應。

Arbitrum 公布了一份部署地址登記冊，標明治理合約，包括選舉與罷免基礎設施。它讓讀者能夠區分投票介面與記錄並執行結果的合約。

因此，一則選舉公告並非完整的安裝記錄。相關的鏈上變更確立了此後哪些密鑰可以行使該角色。

當簽署人輪換密鑰時，同樣的區分也適用。該人可以繼續擔任理事會成員，而獲授權的簽署憑證發生變化，因此僅比較姓名會漏掉一個重要的安全事件。

Arbitrum 的治理文件描述了在以太坊與受治理鏈上各自獨立的多簽實例。它們的權限適用於相關合約，因此所列出的理事會地址並非在每項操作中都可互換。

就 Binance 行動而言，已公布的通知標明了以太坊上的一項合約升級以及 Arbitrum One 上的轉帳。這一關係決定了哪些權限和交易記錄與該干預行動相關。

隸屬關係與對簽名的控制之間還有進一步的區別。公開的僱傭關係可以幫助讀者評估集中度，但並不能證明僱主控制了該人的密鑰或指示了某次特定投票。

關於實際指示、共享託管安排或共同簽署基礎設施的證據，將回答一個與職業履歷不同的問題。分析不應在缺乏佐證資訊的情況下將其一轉化為另一者。

一份透明度報告可以透過標明簽署人、行動、時機和緊迫原因，使這些界限更易於審查。報告的陳述隨後可以與行政交易及所述憲制授權進行比對。

改變理事會的較長期權限本身將是一項治理決定。它不會自動決定已被凍結的 Binance 資產應去向何處，因為釋放仍需要一個明確的接收方和指示。

投票需要確切指明將執行什麼

對代幣持有者而言，下一個具體的恢復事件是一項明確 Binance 分配及其去向的提案。當前通知將該決定交由治理，但其本身並未提供一項已完成的、返還給交易所的轉帳。

Arbitrum 的憲章建議提案列明規格、實施步驟、成本和時機。涉及第三方的提案還應包括適用的法律文件和程序。

投票者需要將描述性文字與可執行指令進行比對。提案可以在文字中聲明一個金額，而交易負載則調用一個帶有其自身資產、接收方和權限參數的合約。

OpenZeppelin 的治理指南區分了計票、法定人數、提案執行和時間鎖組件。投票的頭條結果只是由這些獨立合約和規則構成的系統中的一個階段。

該復原提案應明確說明其目的地是交易所控制的錢包、復原多重簽名，還是受進一步條件約束的中介方。控制該目的地的一方決定了在 DAO 轉移完成後誰可以採取行動。

任何獨立的託管或賠償安排都應按其實際條款歸屬。KelpDAO 的討論顯示，此類安排可以成為復原流程的一部分，但它並未為新事件提供預設條款。

簽署者的問責在緊急轉移之後仍然持續。憲法性的透明度要求既涉及該行動被正當化的理由，也涉及程式碼實際做了什麼。

該報告可以與交易記錄、對與攻擊者相關地址的既定識別，以及公開通知中描述的限制作比較。最終釋放為該序列增添了另一個可觀察事件。

Arbitrum 10 月 30 日的聲明將與 Binance 相關的資產置於 0x0000000000000000000000000000000000000DA0，並表示需要進行治理投票才能轉移它們。

值得關注的事項

• 釋出提案：提交給治理的針對該事件的具體數量、擬議接收方與可執行指令。
• 理事會報告：緊急行動的書面依據及所涉批准。
• 持有轉移：歸因於 Binance 分配的轉帳，與同一地址的其他資產分開列示。
• 法律條件：任何管轄擬議釋出的實際命令或託管安排。
• 執行：在批准及完成適用等待期後，轉移資金的最終交易。

常見問題