Arbitrum(ARB) 보안위원회, 바이낸스 해킹 주소에서 ARB 7,460만 개 동결

개인 키 없이 비워진 주소

Arbitrum (ARB) 보안위원회가 개인 키를 한 번도 보유하지 않은 상태에서 특정 주소에 담겨 있던 7,455만 9,805.2개의 ARB와 약 8,426개의 ETH를 인출했다. 10월 30일 금요일의 이번 조치는 거버넌스 포럼에 게시된 긴급 공지에 근거한다. 공지는 해당 주소를 “오늘의 바이낸스 익스플로잇과 연관된 주소로 특정했다”고 밝히며, 이는 몇 시간 전 거래소의 핫월렛을 터뜨린 침해 사고로, 거래소 스스로 피해 규모를 약 63억 달러로 추정한 바 있다. 공지에 따르면 전송은 홍콩 시간 오전 8시 8분에 이뤄졌고, 두 자산은 피해자나 거래소 계좌로 돌아가지 않고 단일 보관 주소로 옮겨졌다. 반환 또는 재분배 일정은 공지에 명시되지 않았다. 다른 이용자의 자금이나 애플리케이션은 영향을 받지 않았다고 공지는 덧붙인다. Arbitrum(ARB) 가격은 최근 24시간 동안 약 4.8% 하락했으며, 이는 동결 자체와는 별개의 시장 움직임이다. 보안위원회는 사전 DAO 표결 없이, 이런 상황을 위해 위원들에게 부여된 비상 권한에 따라 자체 권한으로 행동했다. 직접적인 선례가 있다. 지난 4월 같은 위원회가 KelpDAO 익스플로잇러가 Arbitrum One에 보유하던 30,765ETH 이상을 긴급 공지와 함께 이동시킨 바 있다. 4월의 사례도 같은 패턴을 따랐다. 온체인 압수가 먼저, 공개 공지는 그 뒤, 처분 문제는 열린 채로 남았다. Arbitrum (ARB)을 개발하는 Offchain Labs의 공동창업자이자 최고경영자인 Steven Goldfeder는 지난 7월 4월 동결에서 위원회의 역할이 설계된 것이라고 말했다. 권한은 “폭넓게 선출된” “외부 주체”에게 있었으며, 그의 말로는 “그 권한이 나에게 있었던 것은 아니다”라고 했다.

아홉 서명자, 단 한 건의 이더리움 거래

연구자 Zealynx가 11월 2일 월요일 게시한 해설은 위원회가 통제하지 못하던 자산을 어떻게 옮겼는지 재구성한다. 해설에 따르면 현재 12명의 서명자 중 아홉을 요구하는 위원회의 Safe가 단 한 건의 이더리움 거래, 정확히는 블록 26301886에서 Arbitrum의 UpgradeExecutor를 호출했다. UpgradeExecutor는 Arbitrum One의 코드가 어떻게 변경될 수 있는지를 지배하는 컨트랙트다. 위원회는 목표 지갑 주소를 앨리어싱 없이 메시지의 발신자로 기록하는 오버라이드 코드로 체인의 Inbox를 잠시 구동한 뒤, 메시지가 처리되면 원래 코드를 복원했다. 이 시퀀스는 두 번 실행됐고, ARB가 먼저 ETH가 그다음이었다. 두 메시지 모두 프로젝트의 레이어 2 네트워크인 Arbitrum One에서, 이더리움 거래 45초 후인 9분 뒤에 실행됐다. 서명 필드가 비워진 0x65 유형 트랜잭션으로 발송됐으며 해당 주소의 논스 2와 3을 소모했다. 첫 번째는 ARB를 0DA0로 끝나는 보관 주소로 보냈고, 두 번째는 8,425.99768ETH를 같은 곳으로 옮겼다. 두 논스가 중요하다. 메시지가 해당 주소 자체의 일련번호를 달고 있었기 때문에, 어떤 관찰자에게 보더라도 이 전송은 보유자의 평범한 송금처럼 보인다. 토큰 로그에는 흔적이 없다. ARB 컨트랙트와 인덱서는 보유자가 직접 실행한 것으로 기록되는 평범한 전송을 기록한다. Arbitrum (ARB) One에서 이 거래를 구별짓는 것은 0x65 유형과 비어 있는 서명뿐이다. Zealynx는 이 과정 어디에도 취약점이 보이지 않는다고 썼다. 위원회는 DAO가 부여한 권한을 사용했고, 두 행동 모두 1시간 30분 안에 공개했다. 핵심은 개발자들을 향한다. 사양이 키만이 지갑을 움직일 수 있다고 약속할 때, 그 약속은 업그레이드 경로를 통제하는 자에게만 유효하며, Arbitrum One에서는 위원회의 비상 Safe와 이더리움상 DAO의 타임락이 그 경로를 쥐고 있다.

처분은 ArbitrumDAO가 결정

이번 사건은 위원회가 DAO로부터 부여받은 권한을 행사한 사례로 읽히며, 가장 어려운 결정은 해결되지 않은 채 남는다. 공지는 동결된 자금이 “관련 당사자들과 협의하여 ArbitrumDAO 거버넌스 표결로만 이동될 수 있다”고 밝혔지만, 동결 이후 그런 표결이 기록된 바 없다. 문제를 종결지을 것은 토큰 보유자들이 7,456만 개의 ARB와 약 8,426개의 ETH를 처분하는 것이며, 지금까지의 기록은 그 표결 외에 날짜도 메커니즘도 정하지 않았다. 동결은 계획된 언락을 몇 주 앞둔 시점에 Arbitrum 생태계 전반에 예정된 유통량 압박과 겹쳐 닿는다. Arbitrum 기술적 분석의 공급 측면에는 이제 두 개의 과잉 공급 요인이 걸려 있다. DAO의 결정을 기다리는 동결된 7,456만 개의 ARB와 11월 15일에 예정된 9,314만 개의 ARB다. DAO가 어느 쪽 물량이든 신속히 움직일지에 대해서는 위원회의 공지가 밝힌 바 없다.