Binance demande le retour de 8 426 ETH et 74,56 millions d'ARB après un piratage

Demande de récupération de Binance

Le 5 novembre, Binance a sollicité le DAO d'Arbitrum pour libérer 8 425,997 ETH et 74,56 millions d'ARB, gelés suite à l'exploitation de son portefeuille chaud. Cette demande marque le début d'un processus de gouvernance que l'échange prévoit de durer au moins sept semaines.

Binance a soumis sa proposition via son compte sur le forum Binance_Post_Listing, demandant aux détenteurs de jetons d'autoriser le retour des actifs immobilisés sur Arbitrum One. Les fonds restent bloqués à une adresse intermédiaire, et des discussions ont lieu sur le forum, accompagnées d'un contrôle de température via Snapshot et d'un vote on-chain contraignant à venir.

Indemnisation des utilisateurs

L'échange a annoncé qu'il couvrirait les pertes des utilisateurs affectés grâce à son Fonds de Sécurisation des Actifs pour les Utilisateurs, connu sous le nom de SAFU, ainsi que par le biais de son trésor d'entreprise. Les actifs récupérés pourraient compenser les pertes et les coûts liés à l'incident, y compris le réapprovisionnement des réserves déjà utilisées pour indemniser les clients.

Le Conseil de Sécurité d'Arbitrum a indiqué avoir gelé les actifs à 8h08, heure de Hong Kong, le 30 octobre, ce qui correspond à la soirée du 29 octobre aux États-Unis. Le conseil a temporairement mis à jour le contrat Inbox d'Arbitrum sur Ethereum, permettant des transactions qui ont déplacé les actifs d'une adresse associée à l'exploitation vers l'adresse gelée, avant de restaurer l'implémentation originale du contrat. Selon les informations divulguées, aucun autre fonds ou application d'utilisateurs n'a été affecté.

Processus de gouvernance

Le conseil a précisé que les actifs gelés ne pouvaient être déplacés que par un vote de gouvernance du DAO d'Arbitrum. La proposition de récupération de Binance suivrait une séquence technique similaire. Une transaction approuvée mettrait temporairement à jour le contrat Inbox, transférerait les soldes gelés vers l'adresse de récupération désignée de Binance, puis supprimerait la fonction temporaire. La demande concerne des actifs déjà immobilisés sur le réseau.

Binance ne s'attend à aucune dépense directe du budget du DAO, en dehors des frais d'exécution de gouvernance habituels. L'échange prévoit environ 49 jours pour la discussion, le vote et l'exécution, bien que ce processus puisse prendre plus de temps. Son calendrier inclut une semaine de discussion sur le forum, un contrôle de température d'une semaine et un vote on-chain de deux semaines. Après approbation, il s'attend à environ 18 jours supplémentaires avant que la transaction retournant les fonds ne soit exécutée.

Conditions de vote et de soumission

La constitution d'Arbitrum exige au moins 1 million d'ARB délégués pour soumettre formellement une proposition on-chain. Une période d'attente de trois jours précède le vote, qui dure normalement 14 jours et peut être prolongé si le quorum est atteint tardivement. L'approbation nécessite plus de votes en faveur que contre, ainsi qu'une exigence de participation comptant le soutien et les abstentions. Pour les propositions constitutionnelles, ce seuil est la moitié des jetons votables délégués, avec un minimum de 150 millions d'ARB et un maximum de 450 millions.

Les propositions réussies doivent également franchir les périodes d'attente sur Arbitrum et Ethereum, avec la finalisation des messages à travers la période de contestation du rollup entre eux. Le projet empêcherait la soumission et la livraison on-chain tant qu'un avis de restriction, un acte, une ordonnance du tribunal ou un autre processus légal bloquant le transfert reste en vigueur, sauf si un tribunal compétent permet ces étapes.

Accords d'indemnisation et mises à jour

Avant la soumission on-chain, l'échange doit signer des accords d'indemnisation couvrant la Fondation Arbitrum, Offchain Labs et les membres du Conseil de Sécurité. Ces accords seraient régis par la loi de New York, les litiges étant attribués aux tribunaux d'État et fédéraux du comté de New York. Ces dispositions traitent des responsabilités potentielles entourant à la fois le gel initial et la libération proposée.

En parallèle de la demande de récupération, la huitième mise à jour de récupération de Binance a prévu des retraits supplémentaires à partir de 04h00 UTC le 5 novembre. Cette liste couvre des actifs sélectionnés sur Ethereum, BSC, Base, Tron, Polygon et Sui. Binance a indiqué que la disponibilité reviendrait progressivement à mesure que chaque combinaison d'actifs et de réseaux passerait les contrôles de sécurité. Les dépôts restent ouverts.

L'échange priorise les jetons en fonction de la demande de la semaine précédente et a averti que le trafic pourrait entraîner des retards temporaires.

Problèmes de sécurité

Dans une autre annonce du 5 novembre, Binance a déclaré avoir supprimé toutes les clés API liées à SignalPlus après qu'une plateforme tierce a signalé un problème de sécurité potentiel. Binance a précisé que ses propres systèmes n'étaient pas affectés et que les fonds des utilisateurs demeuraient en sécurité.

L'échange a conseillé aux utilisateurs de SignalPlus de revoir leurs positions et ordres ouverts directement via Binance, d'attendre la confirmation de la résolution avant de reconnecter les clés API, et d'activer la liste blanche des adresses IP.