Dieser Artikel wurde von BlockWeeks zusammengestellt und übersetzt.
Überblick über den Vorfall
Liquid Network ist eine Bitcoin-Seitenkette, die kürzlich von einem selbsternannten „White-Hat“-Hacker um 4000 BTC (etwa 320 Millionen US-Dollar) bestohlen wurde, doch der Angreifer gab nur 85 % der Gelder zurück.
Die Diebstahlmethode
Am Sonntag stahl der Hacker 4000 BTC vom Liquid-Konsortium (der für die Seitenketten-Blockproduktion sowie Peg-in/Peg-out verantwortlichen Entität). Der Angreifer nutzte eine Schwachstelle im Code der Seitenkettenknoten aus, generierte künstlich 4000 L‑BTC (die Liquid-Version des wrapped Bitcoin) und transferierte die Gelder anschließend über den automatischen Weiterleitungsdienst von SideSwap auf die Hauptkette. Obwohl Auszahlungsadressen auf eine Whitelist gesetzt werden müssen, ermöglicht der automatische Weiterleitungsmechanismus von SideSwap jeder Entität, Gelder zunächst an ihre Whitelist-Adresse zu senden und sie dann automatisch an den Auszahlungsanforderer weiterzuleiten, wodurch die Beschränkung umgangen wurde.
Kommunikation und Verhandlungen on-chain
Der Angreifer führte die Gelder auf einer einzigen Adresse zusammen und schrieb in das OP_RETURN-Feld „Wir sind White-Hats, bitte kontaktieren Sie uns on-chain“. Der Hauptentwickler der Liquid-Codebasis, Blockstream, nahm daraufhin über OP_RETURN die Kommunikation mit dem Hacker auf. Nach mehreren Interaktionsrunden gab der Hacker 3400 BTC (85 %) zurück. Beide Seiten verwendeten verschlüsselte Nachrichten; Blockstream verschlüsselte mit der Bitcoin-Adresse des Hackers, und der Hacker verschlüsselte seine Antworten mit dem öffentlich bekannten PGP-Schlüssel von Blockstream. Bis Mitte dieser Woche verblieben die restlichen 15 % (600 BTC) noch auf der Hacker-Adresse, und die Verhandlungen scheinen gescheitert zu sein. Am 9. September sandte der Hacker eine Klartextnachricht an Blockstream, beschuldigte es der „Fahrlässigkeit“ und forderte die Zahlung eines Kopfgeld von 10 % (etwa 3400 BTC, im Wert von rund 26 Millionen US-Dollar), andernfalls werde er die restlichen 15 % der Gelder behalten und drohte damit, die entschlüsselten privaten Schlüssel zu veröffentlichen. Innerhalb von vier Tagen sandten beide Seiten insgesamt 28 Nachrichten. Darüber hinaus erhielt die Hacker-Adresse eine Vielzahl weiterer Nachrichten, darunter Bitten um Rückgabe der Gelder, Angebote von Rechtsvertretern, Memecoin-Werbung usw.; die Anzahl ihrer OP_RETURN-Nachrichten übertraf an einem Tag die Menge, die die Genesis-Block-Adresse von Satoshi Nakamoto in zehn Jahren empfangen hatte.
Die Kontroverse um das White-Hat-Verhalten
Der Angreifer bezeichnet sich selbst als White-Hat, doch ein echter White-Hat sollte die Schwachstelle verantwortungsvoll an die Entwickler melden, anstatt zuerst einen Diebstahl zu begehen und dann über die Rückgabe zu verhandeln. Nur wenn ein Black-Hat die Schwachstelle zuvorkommend hätte ausnutzen können, wäre ein proaktiver Angriff mit anschließender Rückgabe gerechtfertigt. Diese Schwachstelle hätte direkt an Blockstream gemeldet und behoben werden können, anders als die Coldcard-Schwachstelle, die nicht remote behoben werden kann. Ein echter White-Hat hat bereits angekündigt, 50 BTC von Coldcard-Nutzern „stehlen“ zu können, die Vermögenswerte in einen Wyoming-Trust zu legen und die vollständige Rückgabe aller Gelder zu planen. Der diesmalige Angreifer hingegen behält 15 % der Gelder als Verhandlungsmasse zurück, was im Wesentlichen Erpressung und kein White-Hat-Verhalten ist.
Auswirkungen auf die Branche
Der Liquid-Vorfall ist kein Ereignis mit systemischen Auswirkungen auf das Bitcoin-Ökosystem, doch er ist der jüngste in einer Reihe hochkarätiger BTC-Diebstähle (darunter Coldcard, BTCPay Server usw.). Diese Vorfälle zeigen, dass die Bitcoin-Community zunehmend mit denselben Problemen des Netzwerkdiebstahls konfrontiert wird wie andere, expressivere Blockchains (etwa Ethereum, Solana). Die Einfachheit der Bitcoin-Codesprache und ihre begrenzte Programmierbarkeit haben historisch die Angriffsfläche on-chain eingeschränkt, doch die jüngsten Ereignisse zeigen, dass die Sicherheitsrisiken zunehmen. Es wird allgemein vermutet, dass der Angreifer mithilfe von KI Schwachstellen identifiziert und ausgenutzt haben könnte. Während die „clanker wars“ andauern, wächst die Dringlichkeit, die Codebasen von Bitcoin und dem gesamten Krypto-Bereich zu härten.
