Das Liquid Network hat 3.400 BTC im Wert von etwa 269,2 Millionen US-Dollar von den selbsternannten White-Hat-Hackern zurückerhalten, die hinter einer Abhebung von 4.000 BTC stecken, obwohl fast 47 Millionen US-Dollar noch ausstehen.
Zusammenfassung
- Die Akteure gaben 3.400 BTC zurück und erholten damit etwa 85 % der abgehobenen Gelder.
- Ungefähr 598,5 BTC im Wert von etwa 47 Millionen US-Dollar verbleiben in der mit der Abhebung verbundenen Adresse.
- Blockstream teilte den Akteuren mit, dass seine Bridge-Knoten vor der Rückzahlung gepatcht worden seien.
- Liquid hat nicht bekannt gegeben, wann seine Bridge- und L-BTC-Dienste den normalen Betrieb wieder aufnehmen werden.
Liquid Network hat 85 % des abgehobenen Bitcoin zurückerhalten
On-Chain-Daten zeigen, dass die Akteure 3.400 BTC im Wert von etwa 268,2 Millionen US-Dollar zum Zeitpunkt der Bestätigung an die Liquid-Federation-Wallet in Bitcoin-Block 965.950 zurückgaben. Die Überweisung erholte etwa 85 % der abgehobenen Gelder, während 598,5 BTC im Wert von rund 47 Millionen US-Dollar in der Adresse der Akteure verblieben. Blockstream hatte der Gruppe zuvor über eine signierte Transaktions-Nachricht mitgeteilt, dass seine Bridge-Knoten gepatcht seien und die Gelder "sicher zurückgegeben werden können".
Ungefähr 598,5 BTC im Wert von rund 47 Millionen US-Dollar verblieben nach der größeren Überweisung in der mit der Abhebung verbundenen Adresse. Die Akteure haben nicht öffentlich erklärt, warum sie die verbleibenden Münzen behalten haben, oder angegeben, ob eine weitere Rückzahlung folgen wird.
Der Vorfall am Sonntag begann, als ein Kunde 4.000 Liquid Bitcoin (L-BTC) an den Peg-Out-Dienst von SideSwap sendete. SideSwap ermöglicht es Benutzern, Werte von der Liquid-Seitenkette über einen autorisierten Abhebungsprozess zurück zum Bitcoin-Netzwerk zu übertragen.
Die Akteure identifizierten sich später in einer Nachricht, die einer Bitcoin-Transaktion beigefügt war, selbst als "Whitehats". White-Hat-Hacker finden und melden im Allgemeinen Sicherheitsschwachstellen, damit Entwickler sie beheben können, und erhalten oft eine Belohnung gemäß den mit dem betroffenen Projekt vereinbarten Bedingungen.
Es wurde jedoch keine öffentlich offengelegte Vereinbarung festgestellt, die den Liquid-Akteuren die Erlaubnis erteilte, die Gelder abzuheben. Blockstream und die Akteure haben auch keine Bedingungen veröffentlicht, die eine Belohnung gewähren oder der Gruppe erlauben, fast 600 BTC zu behalten.
Wie crypto.news vor der Rückgabe berichtete, hatten die Akteure angeboten, den "größten Teil" des Bitcoin zurückzuschicken, sobald Blockstream die Schwachstelle behoben hat. Zu diesem Zeitpunkt war keine Rückzahlung bestätigt, und die Abhebung stellte etwa 95 % des Bitcoin dar, der Berichten zufolge in der Federation-Wallet von Liquid gehalten wurde.
On-Chain-Nachrichten führten zur Rückzahlung von 3.400 BTC
Die Kommunikation zwischen Blockstream und den Akteuren erfolgte über Nachrichten, die Bitcoin-Transaktionen beigefügt waren, sodass beide Seiten Anweisungen austauschen konnten, ohne auf einen privaten Nachrichtendienst angewiesen zu sein.
In einer Transaktionsnachricht forderten die Akteure Blockstream auf, den Fehler zu beheben, bevor sie das Bitcoin zurückgaben.
"Bitte beheben Sie zuerst den Fehler", sagte die Nachricht. "Die Kette ist derzeit beim neuesten Commit gefährdet. Stellen Sie sicher, dass jeder Knoten gepatcht ist. Dann werden wir das Geld nach Bestätigung der Behebung sicher zurücküberweisen."
Nach dieser Bestätigung sendeten die Akteure 3.400 BTC an die Liquid-Federation-Adresse. Der Austausch zeigt, dass die Rückzahlung davon abhing, dass die Akteure die Aussage von Blockstream akzeptierten, dass die betroffenen Knoten sicher seien, obwohl keine Seite einen technischen Bericht veröffentlicht hat, der die Schwachstelle identifiziert oder erklärt, wie die Abhebung möglich wurde.
Liquid deaktivierte seine Bridge-Knoten, nachdem es die Transaktion erkannt hatte, und forderte Börsen auf, L-BTC-Einzahlungen und -Abhebungen auszusetzen. Die Abschaltung schränkte die Bewegung zwischen Liquid und der Bitcoin-Basisschicht ein, während Entwickler den Vorfall untersuchten und den Patch anwendeten.
Blockstream hat laut Reuters erklärt, dass der bei der Abhebung verwendete Schlüssel nicht kompromittiert wurde. Das Unternehmen hat keinen vollständigen Post-Mortem-Bericht veröffentlicht, der detailliert, ob der Fehler SideSwap, die Bridge-Software, die Elements-Codebasis von Liquid oder einen anderen Teil des Peg-Out-Prozesses betraf.
Ledger-CTO hinterfragt die White-Hat-Beschreibung
Ledger Chief Technology Officer Charles Guillemet stellte die Selbstbeschreibung der Akteure in Frage, nachdem diese den Großteil der Münzen zurückgegeben, aber fast 600 BTC behalten hatten.
„Also, 3.400 BTC wurden zurückerstattet“, schrieb Guillemet auf X. „Die ‚White Hats‘ halten immer noch 600 BTC. Wenn dies jemals eine ausgehandelte Belohnung unter einem verschlüsselten, auf der Chain signierten Vertrag war, sieht es eher nach Erpressung als nach White-Hat-Hacking aus!“
Sein Kommentar konzentrierte sich auf das Fehlen offengelegter Bedingungen für die einbehaltenen Bitcoins. Ein konventionelles Bug-Bounty-Programm legt normalerweise die Belohnung und die Rückgabebedingungen fest, bevor ein Forscher einen Teil der betroffenen Gelder behält, während zwischen Blockstream und den Akteuren keine vergleichbare Vereinbarung veröffentlicht wurde.
Ein ähnliches Problem trat nach dem Verus-Ethereum-Bridge-Exploit im Mai auf. In diesem Fall gab der Angreifer 75 % der gestohlenen Gelder zurück und behielt 1.350 ETH, damals etwa 2,8 Millionen US-Dollar wert, nachdem Verus öffentlich Vergleichsbedingungen angeboten hatte. Die Liquid-Rückzahlung unterscheidet sich, weil Blockstream nicht gesagt hat, dass die verbleibenden 598,5 BTC eine genehmigte Belohnung darstellen.
White-Hat-Behauptungen bestimmen auch nicht allein den rechtlichen Status eines Akteurs. Jede rechtliche Bewertung würde von Faktoren wie Autorisierung, der Methode zur Erlangung der Vermögenswerte, der Kommunikation zwischen den Parteien und geltenden Gesetzen abhängen. Keine US-Aufsichtsbehörde oder Strafverfolgungsbehörde hat eine Maßnahme im Zusammenhang mit dem Liquid-Abzug angekündigt.
L-BTC-Inhaber warten auf Details zu Deckung und Abhebungen
Liquid ist eine von Blockstream entwickelte föderierte Bitcoin-Sidechain. Benutzer sperren BTC über ihr Peg-System und erhalten L-BTC auf der Sidechain im Verhältnis 1:1, was schnellere Abwicklung und Asset-Transfers ermöglicht, ohne jede Transaktion über die Bitcoin-Basisschicht zu bewegen.
Eine kürzlich veröffentlichte Erklärung zur Brückensicherheit beschrieb, wie Systeme, die Vermögenswerte auf einem Netzwerk sperren und entsprechende Token anderswo ausgeben, von der Sicherheit ihrer Verwahrungs-, Validierungs- und Nachrichtenverarbeitungssysteme abhängen. Fehler an einem dieser Punkte können Rücknahmen unterbrechen, selbst wenn die zugrunde liegende Blockchain normal weiter funktioniert.
Für in den USA ansässige Benutzer ist das unmittelbare Problem operativer Natur und keine Änderung der bundesstaatlichen Krypto-Regeln. Amerikanische Inhaber, die L-BTC verwenden, sind mit denselben ausgesetzten Einzahlungen, Abhebungen und Peg-Diensten konfrontiert wie andere Benutzer, während natives BTC, das direkt auf der Bitcoin-Blockchain gehalten wird, vom Sidechain-System von Liquid getrennt ist.
Liquid hat nicht offengelegt, ob die zurückgegebenen 3.400 BTC die Deckung für das entsprechende L-BTC-Angebot vollständig wiederhergestellt haben. Das Netzwerk hat auch nicht gesagt, wie es eine etwaige Lücke schließen will, die durch die 598,5 BTC entsteht, die sich noch unter der Kontrolle der Akteure befinden.
Es wurde kein Wiedereröffnungszeitpunkt für die Brückenknoten angegeben, und Börsen wurden weiterhin gebeten, L-BTC-Einzahlungen und -Abhebungen ausgesetzt zu lassen. Blockstream hat auch den versprochenen technischen Bericht über den Fehler nicht veröffentlicht oder bestätigt, ob die Akteure beabsichtigen, die verbleibenden Bitcoins zurückzugeben.
