Arbitrum-DAO gibt eingefrorene ETH im Wert von rund 70 Mio. US-Dollar für rsETH-Rettung frei – US-Gericht könnte Transfer stoppen
Das Arbitrum DAO hat am Donnerstag per Governance-Abstimmung die Freigabe von rund 30.765,67 ETH (etwa 70 Mio. US-Dollar) beschlossen, die seit dem Vormonat eingefroren waren. Mit den Mitteln soll eine koordinierte Rückabwicklung und Entschädigung der Betroffenen der rsETH-Schwachstelle bei Kelp DAO finanziert werden. Der Transfer steht allerdings unter rechtlichem Vorbehalt: Eine Anordnung eines US-Bundesgerichts könnte die Auszahlung weiterhin blockieren.
Der Antrag wurde gemeinsam von Avi Labs, KelpDAO, LayerZero, EtherFi und Compound eingebracht. Er erhielt 182,2 Mio. Stimmen dafür, was rund 90,96% entspricht; Gegenstimmen fielen kaum ins Gewicht.
Die Arbitrum Security Council hatte die 30.765,67 ETH eingefroren, nachdem ein Angreifer wenige Tage zuvor eine Schwachstelle in Kelps LayerZero-Crosschain-Bridge ausgenutzt hatte. Infolge des Exploits wurden 116.500 rsETH freigesetzt, ohne dass auf der Quellseite ein entsprechender Burn erfolgte. Der Angreifer nutzte die nicht gedeckten rsETH anschließend als Sicherheit; bei Aave wurden daraufhin Vermögenswerte im Umfang von rund 230 Mio. US-Dollar in ETH aus Nutzerbeständen aus dem Protokoll abgezogen.
Die Abstimmung legte auch die Verwendung der freizugebenden Mittel fest: Sie sollen an eine 3-von-4-Gnosis-Safe-Wallet übertragen werden, die von Vertretern von Aave, KelpDAO, EtherFi und Certora kontrolliert wird und ausschließlich der rsETH-Rückgewinnung dienen soll.
Unsicherheit bringt ein am 1. Mai beim U.S. District Court for the Southern District of New York eingereichter "notice of restraining order". Der Kläger, der ein Urteil gegen Nordkorea wegen Jahrzehnte zurückliegender unbezahlter Forderungen hält, erhielt demnach eine gerichtliche Bestätigung, indem er sich auf Online-Informationen berief, die den Hack der Lazarus Group zuschreiben. In einer Zustellungsanzeige gegenüber dem Arbitrum DAO wird behauptet, die eingefrorenen ETH seien Eigentum der Demokratischen Volksrepublik Korea und könnten zur Vollstreckung gepfändet werden.
Aus am Montag eingereichten Unterlagen geht hervor, dass Aave LLC beim Gericht beantragt hat, die Beschränkungsanzeige aufzuheben. Aave argumentiert, die Grundlage sei haltlos. Alternativ verlangt Aave, falls die Anordnung bestehen bleibt, eine Sicherheitsleistung des Klägers von mindestens 300 Mio. US-Dollar. Zur Begründung heißt es, die Blockade verursache Nutzern unmittelbaren und irreparablen Schaden.
Yuriy Brisov, Partner bei Digital & Analogue Partners, sagte gegenüber Decrypt, eine Umsetzung sei technisch möglich, für Personen auf einer Sanktionsliste aber praktisch "einem Selbstmord gleichzusetzen". Er verwies auf die Entscheidung des New York State Court of Appeals in Aspen Industries v. Ocean Midland Bank, wonach eine restraining notice "die Wirkung einer einstweiligen Verfügung" habe. Nach Section 5251 der New York Civil Practice Law and Rules stelle die Nichtbefolgung einer solchen Mitteilung eine Missachtung des Gerichts dar.
Brisov zufolge signiert der betreffende private Schlüssel weiterhin Transaktionen, und die Ausführungskette erkenne das New Yorker Gericht zwar nicht an. Jede identifizierbare Person in der Ausführungskette habe inzwischen jedoch eine Vorladung erhalten. Sobald diese Personen von der restraining notice tatsächlich Kenntnis erlangen, könne eine ETH-Übertragung als contempt of court gewertet werden. Eine Freistellungsklausel decke eine Haftung wegen Missachtung des Gerichts nicht ab; jeder, der den Transfer ausführt, könnte sich dem Risiko aussetzen.
Der Kernpunkt sei, ob jemand in den USA bereit sei, dieses Risiko zu tragen. Das erkläre auch, warum Aave inhaltlich gegen die Beschränkung vorgehe, statt sich auf eine fehlende US-Zuständigkeit für die Chain zu berufen. Brisov sagte, eine für Aave günstige Entscheidung würde für diesen konkreten Transfer den "Todesstoß" beseitigen, aber nicht generell. Entscheidend sei vielmehr das Handeln des Security Council am 21. April, das "das Vorhandensein eines Kontrollpunkts" gezeigt habe. Selbst bei Aufhebung der Sperre hätten künftige Kläger nun eine Art Fahrplan für ähnliche Ansprüche. Eine Aufhebung der Mitteilung ändere nichts daran, dass das "Gebäude", das Aufmerksamkeit auf sich gezogen habe, sichtbar bleibe.
Alice Frey, Head of Legal and Compliance bei OMI, sagte, die Aufhebung der Sperre entferne "das unmittelbarste Hindernis", doch das Abstimmungsergebnis werde nicht automatisch wirksam. Decrypt betont, dass die Freigabe weiterhin den vollständigen Governance-Prozess voraussetzt und die rechtlichen Risiken fortbestehen. Der Kläger könnte weiter bestreiten, ob ETH überhaupt als "attachable property" gilt; selbst bei einem Erfolg von Aave sei eine reibungslose Umsetzung nicht garantiert.
Die Kelp-DAO-Schwachstelle löste die "DeFi United"-Recovery-Initiative aus. Der Vorschlag sammelte mehr als 300 Mio. US-Dollar ein; die auf Arbitrum eingefrorenen 30.765 ETH sollen einen Teil der geschätzten Unterdeckung von 76.127 rsETH abdecken. Für das Arbitrum DAO entstehen durch den Vorschlag keine zusätzlichen Kosten.
