Совет безопасности Arbitrum перевёл $30 млн с адреса хакеров без ключа владельца

Совет безопасности сети Arbitrum принудительно перевёл около $30 млн ≈ 90,2 млн BYN с адреса, связанного с атакой на Binance, хотя владелец адреса транзакции не подписывал. 30 октября совет отправил на специальный адрес хранения 8 425 ETH и 74,6 млн ARB. Средства останутся заблокированными до отдельного решения ArbitrumDAO.

Как была проведена операция

Для перемещения не понадобился приватный ключ адреса, с которого ушли активы. Совет на короткое время изменил системный смарт-контракт, выполнил от имени кошелька злоумышленника две транзакции и затем вернул прежний код. Команда проекта сообщила, что активы других пользователей не были затронуты.

Почему вмешательство стало возможным

Arbitrum работает как сеть второго уровня Ethereum: она ускоряет операции и снижает стоимость транзакций, но часть её инфраструктуры построена на обновляемых смарт-контрактах. За экстренные действия отвечает Security Council из 12 участников, и для вмешательства нужно согласие минимум девяти из них. Такие полномочия прописаны в правилах ArbitrumDAO и предназначены для чрезвычайных ситуаций.

В этом случае совет временно обновил контракт Inbox, через который сообщения передаются из Ethereum в Arbitrum. Это позволило сформировать транзакции от имени адреса злоумышленника без его криптографической подписи. Операция не была взломом кошелька и не следовала из найденной уязвимости: механизм изначально заложен в систему управления сетью.

Похожим способом в апреле 2026 года совет уже переместил около 30,8 тыс. ETH, связанных со взломом KelpDAO. Это указывает на предусмотренный инструмент экстренного управления, а не на случайную техническую возможность.

Где проходит граница контроля

По словам руководителя направления развития продуктов ФГ «Финам» Кирилла Писцова, случай показал, что приватный ключ не всегда является единственным источником власти над активом. В основной сети Ethereum аналога такого механизма нет, поэтому ETH в Ethereum и ETH в Arbitrum могут стоить одинаково, но условия фактического контроля над ними различаются.

Похожее ограничение возможно и для стейблкоинов: эмитент может заблокировать токены USDT на конкретном адресе, даже если они хранятся в собственном кошельке. В этом случае ограничение задаётся самим активом, а не управлением блокчейном.

В криптосообществе решение оценили неоднозначно: одни увидели в нём эффективную защиту, другие признак централизации.

Что проверить перед выбором сети

По мнению Писцова, при выборе сети для хранения недостаточно сравнивать комиссии, скорость и удобство кошелька. Важно смотреть на четыре вещи:

• кто может обновлять ключевые смарт-контракты сети;
• сколько подписей нужно для экстренного вмешательства;
• есть ли задержка перед вступлением обновления в силу;
• успеет ли пользователь вывести средства при изменении правил.

История Arbitrum не доказывает, что самостоятельное хранение небезопасно. Она показывает другое: правила обращения с активом зависят не только от приватного ключа, но и от архитектуры блокчейна, в котором он находится.