Arbitrum转移了被盗的币安资金，归还需经投票

Disclaimer: Content does not constitute investment advice. Trading involves risks—please invest with caution!

Arbitrum 安全理事会通过临时合约升级冻结与币安黑客事件相关的加密资产

Arbitrum 的安全理事会利用一次临时性的合约升级，将涉及币安（Binance）黑客攻击的加密货币转移至托管地址。此次紧急行动成功阻止了攻击者转移这些资产，但关于这些资产最终去向的决定，属于另一项独立的治理流程。

关键摘要

资产冻结： Arbitrum 安全理事会冻结了与币安漏洞利用相关的 8,425 枚 ETH 和 74,559,805.2 枚 ARB 代币。

行动时间： 根据 Arbitrum 的公告，该行动发生于 10 月 30 日香港时间 08:08。

审批机制： 紧急理事会行动需要获得 12 名成员中至少 9 人的批准。

技术实现： 理事会暂时升级了一个以太坊合约以执行转账，随后恢复了其原始实现状态。

先例参考： Arbitrum 曾在今年 4 月 KelpDAO 被exploit 事件中采用过类似的干预措施，当时冻结了 30,765.67 枚 ETH。

当前状态： 相关资产已被移至一个托管地址，若要再次移动这些资金，必须经过 ArbitrumDAO 的治理投票表决。

行动细节与技术原理

Arbitrum 的公告指出，贡献者为网络中的以太坊收件箱合约（inbox contract）准备了一项临时变更，理事会成员对此进行了验证并签名，随后在转账完成后恢复了原始实现。这一行动之所以受到关注，是因为它并未依赖获取攻击者的私钥。相反，Arbitrum 利用其对自身基础设施的控制权，创建了能够在 Arbitrum One 上移动资产的指令消息。

公告将此次结果描述为“冻结”，并将后续的资金处置权保留给 ArbitrumDAO 治理。这意味着，将资金从攻击者处剥离与将其返还给合法接收方是两个独立的决策过程。

超越钱包权限的管理级操作

普通的加密货币支付由发送账户授权。然而，Arbitrum 的事件通知描述了一条例外路径：即对决定如何处理来自以太坊的消息的基础设施进行变更。新增的功能 `sendUnsignedTransactionOverride` 能够模仿跨链交易，同时伪装成发送者。两条消息分别将 ETH 和 ARB 从识别出的地址转移到了结尾为 0DA0 的托管地址。

这其中的区别在于：是 compromising（攻破）攻击者的密钥，还是利用系统管理员权限来操作该账户所在的系统。Arbitrum 发布的解释侧重于后者。其宪章赋予 DAO 和安全链主特权，包括更改核心协议实现及相关以太坊合约。这种“链主”角色位于特定应用规则之上，是 Arbitrum 治理架构的一部分，因此其拥有的权力不能仅从用户钱包可见的权限中推断出来。

以太坊提供了行政交易的场所，而资产则存储在 Arbitrum One 上。该事件并未展示重写无关以太坊账户或夺取其他网络原生比特币的能力。Arbitrum 的开发文档解释称，父链消息通过收件箱基础设施进入 Rollup。虽然用户在顺序器不可用时可以通过延迟收件箱发送交易，但这与普通消息路径不同。普通用户访问延迟收件箱并不授予紧急行动中创建的特殊发送者冒充权限。

安全理事会的干预之所以可能，是因为它可以批准对相关合约的升级。代码变更提供了异常功能，而非攻击者钱包自愿批准了转账。因此，钱包拥有私钥仅描述了安全安排的一部分。在可升级系统中，用户还依赖于行政权限如何分配和约束。

原子操作：升级、救援与恢复

Arbitrum 表示，升级、转账和恢复形成了一个原子操作。在交易术语中，这些操作被捆绑在一起，旨在确保紧急实施状态不会在操作完成后继续作为活跃状态存在。Arbitrum 公告识别出该行政交易哈希为 `0xb69c81774f507d46ce776aeaed8b4d31df96dd66ce6fd05073481011835355d6`，并将操作和目的地与其法律效力的解释分开列出。

恢复早期实现意味着从活跃实现中移除了特殊功能，但这并未移除允许理事会引入该功能的底层升级权限。类比而言，撤回临时指令并不会废除有权发布新指令的职位。评估未来干预风险的用户既需要了解临时代码的生命周期，也需要了解现行的治理规则。

基金会治理架构描述了升级执行者和被授权调用它们的实体。紧急权限和较慢的 DAO 途径是达到特权合约操作的两种不同方式。技术记录可以确定安装了哪些实现以及创建了哪些消息，但它独立于是否认定某地址持有被盗财产。这种认定取决于事件证据及评估它的行为体。Arbitrum 的公告将该地址与币安漏洞利用联系起来，并表示其他用户的资金和应用未受影响。

已公布行动的狭窄范围至关重要。理事会针对的是其治理链上已识别的资产，并未宣布在整个盗窃期间对所有活动进行网络范围的回滚。对于检查恢复情况的读者来说，三部分内容应结合在一起查看：执行的行政交易、由此引发的转账以及托管合约随后的状态。单独的余额截图无法解释移动资金的权限。

治理流程与时间线分析

九票否决制与快速响应

安全理事会共有 12 名成员，紧急行动需要 9 个批准。治理常见问题解答区分了这一即时路线与普通提案的较长序列。9/12 即 75% 的签名门槛，允许在 3 名成员不可用或反对的情况下采取行动；但如果 4 名成员 withholding approval（保留意见），即使其余 8 人支持，也无法达到阈值。

这一算术描述的是批准规则，而非参与人员的独立性。独立性取决于隶属关系、利益冲突、密钥控制，以及名义上独立的签署者在实践中是否受同一方指挥。Arbitrum 公布了其理事会成员名单，包括专业背景和团队分配，使用户能够识别决策者，而不是将“理事会”视为匿名技术服务机构。

其宪章要求在紧急行动后进行透明报告，并将紧急授权限制在真正的安全紧急事件内。DAO 可以通过宪法提案程序修改或消除理事会的权力。更快的路线具有明确的操作理由：等待完整的代币投票可能会让攻击者有机会在代表讨论提案和投票窗口运行期间动用资金。Arbitrum 的渐进式去中心化账户将理事会描述为治理发展过程中的关键紧急机制，呈现快速响应与分布式治理作为同一架构的一部分。

L2BEAT 的 Arbitrum 评估记录了相反的担忧，即将立即升级权限视为一种实质性的信任假设。其 Stage 1 分类允许安全理事会干预，但这并不意味着所有重要操作都超出人类自由裁量权之外。这两种说法从不同角度描述了相同的权限：Arbitrum 强调应对关键事件的能力，而风险评估则指出了如果特权决策者恶意行事或其密钥被泄露的后果。

冻结与释放的不同截止时间

紧急冻结回答的是一个即时问题：能否防止已识别的资产离开系统？而释放则回答另一个问题：谁应该接收它们，基于什么证据，通过什么指令？币安的通知规定了治理要求，但未设定客户报销的截止日期。DAO 必须在提出目的地和执行动作之前准备好投票，才能解决下一步骤。

尽管初始干预的时间可以从两份事件通知中计算出来：币安将盗窃开始时间定为 10 月 29 日 UTC 20:05；Arbitrum 的行动时间为 10 月 30 日 HKT 08:08（即 UTC 00:08），间隔约为 4 小时零 3 分钟。但这仅涉及报告的盗窃开始时间和 Arbitrum 声明的行动时间，并非衡量理事会在收到警报后采取行动所需的时间，因为通知未指定警报到达的具体时间。

此外，这也不确立在数小时内整个黑客事件的所有资产是否仍可恢复。干预措施针对的是 Arbitrum One 上已识别的持仓，而盗窃及后续转账涉及其他网络。因此，冻结的耗时和归还的耗时需要不同的起始和结束事件。后者需要一个完成的返回到授权接收方的过程，而不仅仅是宣布资产已被冻结。有日期的提案将提供该时间线的下一部分，随后是其投票、适用的等待期和执行。在这些事件发生之前，冻结时间戳不提供自动付款日期。

Arbitrum 的提案投票指南区分了讨论、链下信号和正式的链上投票。积极的讨论线程或温度检查不等于通过治理合约的执行。宪章单独将对软件进行更改或需要链主权力的提案归类为宪法级提案，给予其投票、等待和实施阶段，具体路线由提案的实际内容决定。

因此，转账提案需要比“资金应退还”更详细的陈述。接收地址、金额、权限和任何条件都必须与选民被要求批准的指令相匹配。这对于涉及交易所的回收尤为重要。币安承诺使用公司资源覆盖客户，因此 recovered assets（追回资产）的接收方可能是交易所或其他授权回收安排，而不是每个账户持有人直接接收链上分发。

在其资产替换计划进行的同时，原始资产在其他地方仍处于冻结状态。因此，追回款项与客户负债需要对账，以免同一笔金额被表现为两次单独的赔偿。例如，假设一家交易所使用其国库替换了 100 枚被盗代币。如果 DAO 后来归还了 20 枚原始代币，客户并未收到 120 枚代币的赔偿；交易所只是收回了恢复原始 100 枚代币负债成本的一部分。如果代币尚未替换，同样的回收可能会减少未结清的客户差额。正确的描述取决于转移发生时实际的负债和还款安排。

历史案例对比：KelpDAO 事件

Arbitrum 在今年 4 月 KelpDAO 被 exploit 后使用了类似的干预措施。其 4 月行动通知识别出 30,765.667501709008927568 ETH 被移至相同的托管地址，并表示治理将需要授权释放。正如此前报道，理事会冻结了与 Kelp 关联的 ETH，而未向其他用户或应用程序宣布一般性中断。当时引用的价值约为 7100 万美元。

随后的阶段涉及为 rsETH 持有者提出的协调回收计划。Aave Labs、KelpDAO、LayerZero、EtherFi 和 Compound 共同起草了一份 4 月 25 日的释放提案。其既定目标是将冻结的 ETH 引导用于恢复 rsETH 的支持。提案明确指出资产已被冻结，其目的地是剩余的治理问题。

法律索赔随后使进程复杂化。5 月 1 日的禁令通知涉及恐怖主义判决债权人的索赔，他们认为这些资产可以满足针对朝鲜的判决。重要的历史区别在于这一指控与既定的所有权裁决之间。将漏洞利用归因于与国家有关的参与者本身并不能回答关于从另一方取走的资产的每一个财产问题。

5 月 8 日的治理投票报道描述了对回收提案和免责条款的强烈支持。对该计划的支持以及对实施人员面临的法律风险的应对是通过 separate arrangements（单独的安排）解决的。公共论坛中随后的修正讨论提到了在司法监督下转入 Aave LLC 保管。这次 5 月的讨论是历史背景，而不是证明币安资产现在面临相同索赔或法院程序的证据。

这一比较指出了一个已知的延误来源：理事会在确定 rightful recipient（合法接收方）和 lawful transfer route（合法转移路线）之前，可以将资产从攻击者的直接控制中移除。初始冻结的速度不会自动带来固定的回报时间表。因此，将 KelpDAO 回收的法律状态附会到新发现的币安持仓上为时过早。适用的提案和任何实际的法律命令必须明确它们涉及的资产和当事方。

数据解读与自我托管的风险

托管地址的多重归属

Arbitrum 的公告识别出币安和 KelpDAO 行动指向同一个结尾为 0DA0 的目的地。这使得在读者试图通过浏览器跟踪回收过程时，转账记录和资产归属特别相关。显示的 ETH 余额是查询时该地址的总额。如果没有交易历史和相关的限制，它无法识别哪一部分属于哪个事件，或者之前的分配是否已经改变。

因此，币安通知中的 8,425 ETH 是应追踪的特定于事件的數量。用托管地址当前的全部 ETH 余额替代，可能会混合不相关的流入、剩余持仓或后续交易。ARB 余额需要其自己的代币转账记录。添加原生 ETH 和代币数量不会产生有用的单一数量，除非两者都使用披露的价格和时间戳进行估值。

例如，币安分配的估值将是 8,425 乘以选定的 ETH 价格，加上 74,559,805.2 乘以选定的 ARB 价格。当任一价格变化时，金额就会变化，即使没有代币离开托管地址。在以 ETH 价格 2,200 美元和 ARB 价格 0.16 美元为例时，公式产生的约为 3046 万美元。这些是假设的估值输入，而非报价的市场价格或 Arbitrum 的损失会计。这一计算解释了为什么美元头条新闻可能会变动，而回收的数量保持不变。报告代币数量保留了回收记录的稳定参考。

类似的区别也适用于费用和交易计数。一个行政以太坊交易可以在 Rollup 上创建多条消息和转账，因此仅计算父链交易并不能描述所有的资产流动。网络的交易生命周期文档区分了父链和子链上的提交与包含。检查干预措施需要遵循这种关系，而不是将两个链视为重复回收的独立证据。

因此，对读者有用的记录是特定于事件的：原始地址、转移数量、托管目的地、释放授权和最终接收方。每一项都回答了资产去向的不同部分。

自我托管与网络治理涵盖不同的权力

自我托管意味着用户控制通常需要从账户授权交易所需的凭证。它并不保证账户存在的每块区块链都有不可变的规则或没有行政权限。Arbitrum 公布的架构包括顺序器、验证和争议机制、升级权限和治理。每个组件解决了交易被接受和系统变化的不同方面。

其顺序器文档描述了当顺序器失败或审查消息时的替代包含安排。这些保护措施解决了协议规则内的交易排序和可用性。紧急软件升级关乎规则和特权合约本身。绕过不可用顺序器的路径并没有移除授权治理行为者更改可升级实现的单独能力。

OpenZeppelin 的访问控制文档在合约层面做出了相关区分。所有权和角色决定了哪些账户可以调用特权函数，而时间锁可以延迟分配给它的操作。实际的安全问题是这些权限导致何处。一个应用可以使用多重签名，而更高层级的网络合约仍可通过另一组签署者进行升级，每组都有自己的规则。

Aave 在其治理文档中提供了一个有用的对比。它区分了协议紧急守护人和治理紧急守护人，将不同的干预任务分配给不同的机构。这种分离并不表明使用守护人的每个系统同样安全。它说明了角色的名称不如它可以调用的确切功能、所需的批准以及替换它的流程那样具有信息量。

币安漏洞利用本身涉及另一种类型的权威。调查人员描述了以太坊攻击序列中的有效钱包授权，而 Arbitrum 的恢复则在资产到达其链后使用了网络管理路径。这两个事件不应压缩成一个声称私钥不再重要的主张。它们证明了签名授权、委托账户行为和网络升级权限是资产安全环境中 distinct parts（不同的部分）。

理事会成员与签名密钥的独立审查

公开的花名册识别人，而多重签名需要来自特定密钥的签名。两条记录都相关：成员页面上的名字本身并不显示密钥是否安全持有或在事件期间可用。Arbitrum 的成员职责要求进行运营安全，包括使用专门的角色专用硬件钱包。公布的期望包括组织、地点和时区的多样性，以支持独立性和快速响应。

这两个目标可能在不同的运营方向上拉扯。签署者需要足够的分离以抵抗常见的妥协，而必须有足够多的签署者可达以实现紧急情况下的阈值。9/12 的规则并不能消除这种协调问题。如果 3 名成员不可用，每位剩余成员必须批准才能使行动继续；如果 4 名成员不可用，则无法达到即时签名阈值。这是可用性计算，而非证明在币安回应期间发生了任一事件。公布的交易记录了一次确实进行的干预。

理事会概述描述了选举和罢免安排。它说，成员可以通过满足适用参与度和超级多数条件的 DAO 投票被罢免，或通过至少 9 名理事会成员的批准被罢免。决策者的罢免和合同权限的罢免是不同的行为。行政系统必须确保在选举、辞职或替换后，权限对应于授权的成员资格。

Arbitrum 发布了部署地址注册表，识别治理合约，包括选举和罢免基础设施。它让读者能够区分投票界面和记录及实施结果的合约。因此，选举公告并不是完整的安装记录。相关的链上变更确立了之后哪些密钥可以行使该角色。当签署者轮换密钥时也适用同样的区别。个人可以是理事会成员，而授权的签名凭证发生变化，因此仅比较名字会错过重要的安全事件。

Arbitrum 的治理文件描述了以太坊和治理链 across 的多重签名实例。它们的权限适用于相关合约，因此列出的理事会地址在所有操作中不可互换。对于币安行动，公布的公告识别出以太坊上的合约升级和 Arbitrum One 上的转账。这种关系确定了哪些权限和交易记录与干预措施相关。

隶属关系与签名控制之间存在进一步的区别。公开的雇主关系可以帮助读者评估集中度，但并不能证明雇主控制了个人的密钥或指示了特定的投票。实际指令的证据、共享托管安排或共同的签名基础设施将回答一个不同的问题，而不是职业传记。在没有支持信息的情况下，分析不应将其中一个转换为另一个。

透明报告可以通过识别签署者、行动、时机和紧急原因来使这些界限更容易检查。然后可以将报告的帐户与行政交易和所述的宪法授权进行比较。改变理事会长远权力本身就是一个治理决定。它不会自动确定已冻结的币安资产的去向，因为释放仍然需要一个定义的接收方和指令。