Liquid Network ha recuperado 3,400 BTC por valor de aproximadamente $269.2 millones de los hackers autodenominados sombrero blanco detrás de un retiro de 4,000 BTC, aunque casi $47 millones siguen pendientes.
Resumen
- Los actores devolvieron 3,400 BTC, recuperando aproximadamente el 85% de los fondos retirados.
- Aproximadamente 598.5 BTC, por valor de unos $47 millones, permanecen en la dirección vinculada al retiro.
- Blockstream dijo a los actores que sus nodos puente habían sido parcheados antes del reembolso.
- Liquid no ha anunciado cuándo reanudarán sus operaciones normales sus servicios de puente y L-BTC.
Liquid Network ha recuperado el 85% del Bitcoin retirado
Los datos en cadena muestran que los actores devolvieron 3,400 BTC, por valor de aproximadamente $268.2 millones cuando se confirmó, a la billetera de la Federación Liquid en el bloque 965,950 de Bitcoin. La transferencia recuperó aproximadamente el 85% de los fondos retirados, mientras que 598.5 BTC por valor de aproximadamente $47 millones permanecieron en la dirección de los actores. Blockstream había dicho previamente al grupo a través de un mensaje de transacción firmada que sus nodos puente estaban parcheados y que los fondos eran "seguros de devolver".
Alrededor de 598.5 BTC, valorados en aproximadamente $47 millones, permanecieron en la dirección vinculada al retiro después de la transferencia más grande. Los actores no han explicado públicamente por qué retuvieron las monedas restantes ni han declarado si se realizará otro reembolso.
El incidente del domingo comenzó cuando un cliente envió 4,000 Liquid Bitcoin, o L-BTC, al servicio de salida de SideSwap. SideSwap permite a los usuarios mover valor desde la cadena lateral Liquid de vuelta a la red Bitcoin a través de un proceso de retiro autorizado.
Los actores luego se identificaron como "sombreros blancos" en un mensaje adjunto a una transacción de Bitcoin. Los hackers de sombrero blanco generalmente encuentran y reportan debilidades de seguridad para que los desarrolladores puedan repararlas, a menudo recibiendo una recompensa bajo los términos acordados con el proyecto afectado.
Sin embargo, ningún acuerdo divulgado públicamente ha establecido que los actores de Liquid tuvieran permiso para retirar los fondos. Blockstream y los actores tampoco han publicado términos que otorguen una recompensa o permitan al grupo retener casi 600 BTC.
Como informó crypto.news antes de la devolución, los actores habían ofrecido devolver "la mayoría" del Bitcoin una vez que Blockstream arreglara la vulnerabilidad. En ese momento, no se había confirmado ningún reembolso, y el retiro representaba aproximadamente el 95% del Bitcoin que se dice estaba en la billetera de la federación de Liquid.
Los mensajes en cadena llevaron al reembolso de 3,400 BTC
La comunicación entre Blockstream y los actores se llevó a cabo a través de mensajes adjuntos a transacciones de Bitcoin, permitiendo a ambas partes intercambiar instrucciones sin depender de un servicio de mensajería privado.
En un mensaje de transacción, los actores dijeron a Blockstream que reparara la falla antes de devolver el Bitcoin.
"Por favor, arreglen el error primero", decía el mensaje. "La cadena está en riesgo en el último commit ahora mismo. Asegúrense de que cada nodo esté parcheado. Luego transferiremos el dinero de vuelta de manera segura después de confirmar el arreglo."
Después de esa confirmación, los actores enviaron 3,400 BTC a la dirección de la Federación Liquid. El intercambio muestra que el reembolso dependía de que los actores aceptaran la declaración de Blockstream de que los nodos afectados estaban seguros, aunque ninguna de las partes ha publicado un informe técnico que identifique la falla o explique cómo fue posible el retiro.
Liquid deshabilitó sus nodos puente después de detectar la transacción y pidió a los intercambios que suspendieran los depósitos y retiros de L-BTC. El cierre restringió el movimiento entre Liquid y la capa base de Bitcoin mientras los desarrolladores investigaban el incidente y aplicaban el parche.
Blockstream ha dicho que la clave utilizada durante el retiro no fue comprometida, según Reuters. La compañía no ha publicado una autopsia completa que detalle si la falla afectó a SideSwap, el software del puente, el código base de Elements de Liquid u otra parte del proceso de salida.
El CTO de Ledger cuestiona la descripción de sombrero blanco
El Director de Tecnología de Ledger, Charles Guillemet, cuestionó la descripción que los actores hicieron de sí mismos después de que devolvieran la mayoría de las monedas pero retuvieran casi 600 BTC.
"Entonces, se reembolsaron 3,400 BTC", escribió Guillemet en X. "Los 'sombreros blancos' todavía tienen 600 BTC. Si esto alguna vez fue una recompensa negociada bajo un contrato cifrado firmado en cadena, ¡parece más extorsión que piratería de sombrero blanco!"
Su comentario se centró en la falta de términos divulgados que cubran el Bitcoin retenido. Un programa de recompensas por errores convencional normalmente establece la recompensa y las condiciones de devolución antes de que un investigador conserve parte de los fondos afectados, mientras que no se ha hecho público ningún acuerdo comparable entre Blockstream y los actores.
Un problema similar surgió después de la explotación del puente Verus Ethereum en mayo. En ese caso, el atacante devolvió el 75% de los fondos robados y se quedó con 1,350 ETH, que entonces valían alrededor de $2.8 millones, después de que Verus ofreciera públicamente términos de liquidación. El reembolso de Liquid difiere porque Blockstream no ha dicho que los 598.5 BTC restantes constituyan una recompensa aprobada.
Las afirmaciones de sombrero blanco tampoco determinan por sí mismas el estatus legal de un actor. Cualquier evaluación legal dependería de factores como la autorización, el método utilizado para obtener los activos, las comunicaciones entre las partes y las leyes aplicables. Ningún regulador o agencia de aplicación de la ley de EE. UU. ha anunciado una acción relacionada con el retiro de Liquid.
Los titulares de L-BTC esperan detalles sobre el respaldo y los retiros
Liquid es una cadena lateral de Bitcoin federada desarrollada por Blockstream. Los usuarios bloquean BTC a través de su sistema de anclaje y reciben L-BTC en la cadena lateral a una proporción de uno a uno, lo que permite una liquidación más rápida y transferencias de activos sin mover cada transacción a través de la capa base de Bitcoin.
Un explicador de seguridad de puentes reciente describió cómo los sistemas que bloquean activos en una red y emiten tokens correspondientes en otra dependen de la seguridad de sus sistemas de custodia, validación y procesamiento de mensajes. Las fallas en cualquiera de esos puntos pueden interrumpir los reembolsos incluso cuando la cadena de bloques subyacente continúa operando normalmente.
Para los usuarios con sede en EE. UU., el problema inmediato es operativo más que un cambio en las reglas federales de criptomonedas. Los titulares estadounidenses que usan L-BTC enfrentan los mismos depósitos, retiros y servicios de anclaje suspendidos que otros usuarios, mientras que el BTC nativo mantenido directamente en la cadena de bloques de Bitcoin es separado del sistema de cadena lateral de Liquid.
Liquid no ha revelado si los 3,400 BTC devueltos han restaurado completamente el respaldo para la oferta correspondiente de L-BTC. La red tampoco ha dicho cómo planea manejar cualquier brecha creada por los 598.5 BTC que aún están controlados por los actores.
No se ha dado un tiempo de reapertura para los nodos del puente, y todavía se pedía a los intercambios que mantuvieran suspendidos los depósitos y retiros de L-BTC. Blockstream tampoco ha publicado el informe técnico prometido sobre la falla ni ha confirmado si los actores tienen la intención de devolver el Bitcoin restante.
