Skip to content
Blockchain Posts

exploit

Arbitrum : le Security Council gèle 30,5 M$ du hack Binance par action d'urgence

Le 30 octobre à 00h08 UTC, le Security Council d'Arbitrum a modifié temporairement le contrat Inbox d'Ethereum pour geler 8 425 ETH et 74,6 M ARB — ~30,5 M$ — issus du drain Binance.

par 4 min de lecture
exploitarbitrumgouvernanceon-chain

Le Security Council d'Arbitrum a exécuté le 30 octobre à 00h08 UTC une action d'urgence qui gèle 8 425 ETH et 74 559 805,2 ARB, soit environ 30,5 M$, provenant du drain Binance couvert sur ce site (notre article du matin). L'opération est juridiquement une modification temporaire du contrat Inbox sur Ethereum, suivie de son rétablissement, selon le compte-rendu publié par le Council sur le forum de la fondation.

Ce qui s'est passé

L'attaquant avait fait transiter une partie des fonds dérobés à Binance vers une adresse Arbitrum terminant par « 0DA0 » (adresse complète non divulguée dans le rapport du Council). Les fonds restaient librement cessibles tant qu'ils n'étaient pas gelés par un émetteur de stablecoin ou retenus par un pont — ce que ni l'ETH ni l'ARB ne permettent.

Le Council a utilisé le pouvoir d'upgrade d'urgence inscrit dans la constitution d'Arbitrum :

  1. Déploiement d'une nouvelle implémentation de l'Inbox contract sur Ethereum.
  2. Soumission depuis cette implémentation modifiée de deux transactions depuis l'adresse cible — l'une pour le solde ETH, l'autre pour le solde ARB — vers une adresse de séquestre.
  3. Restauration de l'Inbox dans sa version d'origine.

Le dispositif a été voté par au moins 9 des 12 membres du Council (seuil statutaire) ; la liste nominative des votants n'est pas publiée. Toute mobilisation ultérieure des fonds nécessite désormais un vote de gouvernance complet via le processus Arbitrum DAO.

Mécanique — un précédent politique, pas technique

Les pouvoirs d'urgence du Security Council étaient prévus par la constitution d'Arbitrum pour les cas où un vote n'est pas atteignable dans le temps imparti — typiquement une faille à colmater. C'est la première fois que ces pouvoirs sont utilisés pour geler des fonds détenus par un utilisateur et non pour patcher une vulnérabilité. La ligne est tenue par la clause finale du rapport : tout mouvement de ces fonds exige un vote DAO en bonne et due forme, ce qui met un circuit-breaker procédural face au risque d'extension du dispositif.

Côté implémentation, la modification temporaire de l'Inbox est un pattern déjà utilisé pour certains upgrades, mais jamais à des fins de confiscation ponctuelle. Les deux transactions exécutées depuis l'Inbox modifié apparaissent sur Etherscan sous forme de deux appels contractuels successifs, publiés dans l'historique du contrat et donc vérifiables.

Numéros clés

  • Fonds gelés : 8 425 ETH + 74 559 805,2 ARB — ~30,5 M$.
  • Heure de l'action : 30 octobre 2026, 00h08 UTC.
  • Seuil Council : 9 approbations sur 12.
  • Adresse cible : adresse Arbitrum se terminant par 0DA0 (complète non divulguée).
  • Total gelé lié au drain Binance (toutes juridictions / émetteurs confondus) : >2,83 Md$ selon ZachXBT à la publication.
  • Mécanisme utilisé : modification temporaire de l'Inbox contract Ethereum, puis restauration.

Que surveiller

  1. La fenêtre de contestation sur le forum DAO d'Arbitrum. Historiquement, chaque usage inédit des pouvoirs du Council déclenche une discussion de politique générale.
  2. Les positions des délégués majeurs (Gauntlet, Blockworks Research, L2BEAT). Leur lecture conditionnera la trajectoire du vote de restitution ou de contrôle des fonds.
  3. D'éventuelles saisies similaires sur d'autres L2 — Optimism, Base et zkSync disposent de councils aux statuts proches, mais aucun n'a documenté ce type d'intervention à ce stade.
  4. Les mouvements des ~2,4 Md$ encore libres (420 000+ ETH et 18 270 BTC estimés par TRM Labs), hors portée des émetteurs côté BTC.
  5. Le prochain snapshot de preuve de réserves de Binance, promis par Richard Teng pour lundi, et la réouverture des retraits visée pour dimanche — tous deux détaillés dans notre point sur la réponse Binance.

Contexte — le Security Council face à son premier test politique

Les councils de L2 sont présentés comme des gardiens techniques, non comme des juges. Le dossier Binance change le cadre : la question n'était pas de savoir si les fonds étaient volés — l'ensemble des analyses on-chain publiques (Chainalysis, TRM Labs, ZachXBT) convergent — mais si un conseil de douze personnes peut, par vote restreint, modifier un contrat système pour redistribuer des soldes. Arbitrum répond oui, à condition que la fenêtre soit étroite et qu'un vote DAO complet reprenne la main pour toute décision ultérieure. Le même précédent sera cité quand une attaque future touchera un protocole qui divise les DAO — ou quand un gouvernement ciblera une adresse par ordonnance locale.

Sources

Articles liés