Arbitrum переместил активы на $30 млн без приватного ключа владельца

30 октября Security Council Arbitrum принудительно переместил активы общей стоимостью около $30 млн. По словам руководителя направления развития продуктов ФГ «Финам» Кирилла Писцова, этот случай показал ограничения самокастодиального хранения.

Для перевода совет временно изменил системный смарт-контракт Inbox, который передает сообщения из Ethereum в Arbitrum. После этого сеть провела две транзакции от имени кошелька злоумышленника и вернула прежний код. Приватный ключ и криптографическая подпись владельца не понадобились. Средства заблокировали до решения ArbitrumDAO, а разработчики заявили, что активы других пользователей не пострадали.

Arbitrum — сеть второго уровня Ethereum с обновляемыми смарт-контрактами. В Security Council входят 12 участников, для экстренного вмешательства требуется как минимум девять голосов. Аналогичный механизм совет применил в апреле 2026 года, переместив около 30,8 тыс. ETH, связанных со взломом KelpDAO.

Реакция пользователей X оказалась неоднозначной. Одни сочли операцию эффективной защитой, другие заявили, что больше не доверяют Arbitrum. Сторонники решения напомнили: полномочия совета задокументированы, а принудительный перевод может быть предпочтительнее отката всей сети. Перемещенные $30 млн составили около 0,5% от $6,3 млрд, похищенных у Binance.

Писцов отметил, что в Ethereum нет аналогичного совета, способного перевести ETH от имени произвольного пользователя. При этом эмитент USDT может заморозить токены на конкретном адресе даже при хранении в личном кошельке. На фоне дискуссии в Arbitrum запустили NullMask — слой приватности для депозитов, переводов и проверки балансов.