아비트럼 보안위원회, 해커 서명 없이 바이낸스 해킹자금 약 3천만 달러 옮겼다

아비트럼 보안위원회가 공격자의 서명 없이 바이낸스 해킹과 연관된 주소에서 8,425 ETH 이상과 7,400만 ARB를 옮겼다. 총가치는 약 3,000만 달러로, 바이낸스에서 탈취된 약 63억 달러에 비하면 적은 규모였다. 위원회는 위원 12명 중 9명의 승인을 받아 아비트럼의 인박스 컨트랙트를 일시적으로 변경했다. 이를 통해 끝자리가 0DA0인 보관 주소로 두 차례 이체를 실행한 뒤 원래 코드를 복구했다. 보안업체 질링스는 이더리움 거래가 이뤄진 지 약 10분 뒤 해당 자금이 아비트럼에 도착했다고 밝혔다. 이체에는 공격자 주소의 거래 카운터가 사용됐으며 서명 필드는 비어 있었다. 위원회는 다른 이용자의 자금이나 애플리케이션에는 영향이 없었다고 밝혔다. 해당 자산은 관련 당사자들과 조율한 아비트럼DAO 거버넌스 투표를 통해서만 이동할 수 있다고 설명했다. 이번 사례는 아비트럼의 업그레이드 경로를 통제하면 특정 주소의 개인키 없이도 해당 주소에서 자금을 이체할 수 있음을 보여준다. 이와 유사하게 4월에 회수된 30,766 ETH는 당시 약 7,100만 달러 규모였으며, 법적 지연으로 보관 주소에서 출금되기까지 수주가 걸렸다.