Liquid Network odzyskał 3400 BTC o wartości około 269,2 miliona dolarów od samozwańczych hakerów białych kapeluszy stojących za wypłatą 4000 BTC, chociaż prawie 47 milionów dolarów pozostaje nieuregulowanych.
Podsumowanie
- Aktorzy zwrócili 3400 BTC, odzyskując około 85% wypłaconych środków.
- Około 598,5 BTC, o wartości około 47 milionów dolarów, pozostaje na adresie powiązanym z wypłatą.
- Blockstream poinformował aktorów, że jego węzły mostkowe zostały załatane przed zwrotem.
- Liquid nie ogłosił, kiedy jego mostek i usługi L-BTC wznowią normalne działanie.
Liquid Network odzyskał 85% wypłaconych Bitcoinów
Dane on-chain pokazują, że aktorzy zwrócili 3400 BTC, o wartości około 268,2 miliona dolarów w momencie potwierdzenia, do portfela Liquid Federation w bloku Bitcoin 965 950. Transfer odzyskał około 85% wypłaconych środków, podczas gdy 598,5 BTC o wartości około 47 milionów dolarów pozostało na adresie aktorów. Blockstream wcześniej poinformował grupę za pomocą podpisanej transakcji wiadomości, że jego węzły mostkowe zostały załatane, a środki są "bezpieczne do zwrotu".
Około 598,5 BTC, wycenianych na około 47 milionów dolarów, pozostało na adresie powiązanym z wypłatą po większym transferze. Aktorzy nie wyjaśnili publicznie, dlaczego zatrzymali pozostałe monety ani nie oświadczyli, czy nastąpi kolejny zwrot.
Niedzielny incydent rozpoczął się, gdy klient wysłał 4000 Liquid Bitcoin, czyli L-BTC, do usługi peg-out SideSwap. SideSwap umożliwia użytkownikom przenoszenie wartości z sidechainu Liquid z powrotem do sieci Bitcoin w autoryzowanym procesie wypłaty.
Aktorzy później zidentyfikowali się jako "whitehats" w wiadomości dołączonej do transakcji Bitcoin. Hakerzy białych kapeluszy zazwyczaj znajdują i zgłaszają luki w zabezpieczeniach, aby programiści mogli je naprawić, często otrzymując nagrodę na warunkach uzgodnionych z dotkniętym projektem.
Jednak żadne publicznie ujawnione porozumienie nie ustaliło, że aktorzy Liquid mieli pozwolenie na wypłatę środków. Blockstream i aktorzy nie opublikowali również warunków przyznających nagrodę ani pozwalających grupie na zatrzymanie prawie 600 BTC.
Jak poinformował crypto.news przed zwrotem, aktorzy zaoferowali odesłanie "większości" Bitcoinów po naprawieniu luki przez Blockstream. W tym momencie żaden zwrot nie został potwierdzony, a wypłata stanowiła około 95% Bitcoinów rzekomo przechowywanych w portfelu federacji Liquid.
Wiadomości on-chain doprowadziły do zwrotu 3400 BTC
Komunikacja między Blockstream a aktorami odbywała się za pośrednictwem wiadomości dołączonych do transakcji Bitcoin, co pozwalało obu stronom na wymianę instrukcji bez polegania na prywatnym serwisie do przesyłania wiadomości.
W jednej wiadomości transakcyjnej aktorzy powiedzieli Blockstream, aby naprawił wadę przed zwrotem Bitcoinów.
"Proszę najpierw naprawić błąd" – głosiła wiadomość. "Łańcuch jest obecnie zagrożony w najnowszym commicie. Upewnij się, że każdy węzeł jest załatany. Następnie bezpiecznie przetransferujemy pieniądze z powrotem po potwierdzeniu naprawy."
Po tym potwierdzeniu aktorzy wysłali 3400 BTC na adres Liquid Federation. Wymiana pokazuje, że zwrot zależał od zaakceptowania przez aktorów oświadczenia Blockstream, że dotknięte węzły są bezpieczne, chociaż żadna ze stron nie opublikowała raportu technicznego identyfikującego wadę ani wyjaśniającego, w jaki sposób wypłata stała się możliwa.
Liquid wyłączył swoje węzły mostkowe po wykryciu transakcji i poprosił giełdy o zawieszenie depozytów i wypłat L-BTC. Zamknięcie ograniczyło przepływ między Liquid a warstwą bazową Bitcoin, podczas gdy programiści badali incydent i stosowali łatkę.
Blockstream powiedział, że klucz użyty podczas wypłaty nie został naruszony, według Reuters. Firma nie opublikowała pełnego raportu powypadkowego szczegółowo opisującego, czy wada dotyczyła SideSwap, oprogramowania mostka, bazy kodu Elements Liquid, czy innej części procesu peg-out.
CTO Ledgera kwestionuje opis „białych kapeluszy”
Dyrektor techniczny Ledgera, Charles Guillemet, zakwestionował samoopis aktorów po tym, jak zwrócili większość monet, ale zatrzymali prawie 600 BTC.
„Tak więc 3400 BTC zostało zwrócone” – napisał Guillemet na X. „»Białe kapelusze« nadal trzymają 600 BTC. Jeśli kiedykolwiek była to wynegocjowana nagroda na podstawie zaszyfrowanej umowy podpisanej w łańcuchu, wygląda to bardziej na wymuszenie niż na hackowanie w białych kapeluszach!”
Jego komentarz skupił się na braku ujawnionych warunków dotyczących zatrzymanych bitcoinów. Konwencjonalny program bug bounty zwykle ustala nagrodę i warunki zwrotu, zanim badacz zatrzyma część dotkniętych środków, podczas gdy żadne porównywalne porozumienie między Blockstream a aktorami nie zostało upublicznione.
Podobny problem pojawił się po exploitcie mostu Verus Ethereum w maju. W tym przypadku atakujący zwrócił 75% skradzionych środków i zatrzymał 1350 ETH, wówczas wartych około 2,8 miliona dolarów, po tym jak Verus publicznie zaoferował warunki ugody. Spłata Liquid różni się tym, że Blockstream nie powiedział, że pozostałe 598,5 BTC stanowi zatwierdzoną nagrodę.
Roszczenia białych kapeluszy nie przesądzają również same w sobie o statusie prawnym aktora. Jakakolwiek ocena prawna zależałaby od takich czynników, jak autoryzacja, metoda uzyskania aktywów, komunikacja między stronami i obowiązujące przepisy. Żaden amerykański regulator ani organ ścigania nie ogłosił działań związanych z wypłatą z Liquid.
Posiadacze L-BTC czekają na szczegóły dotyczące zabezpieczenia i wypłat
Liquid to sfederowany sidechain Bitcoin opracowany przez Blockstream. Użytkownicy blokują BTC za pośrednictwem systemu peg i otrzymują L-BTC na sidechainie w stosunku jeden do jednego, co umożliwia szybsze rozliczenia i transfery aktywów bez przenoszenia każdej transakcji przez bazową warstwę Bitcoina.
Ostatni przewodnik po bezpieczeństwie mostów opisał, jak systemy, które blokują aktywa w jednej sieci i emitują odpowiadające im tokeny gdzie indziej, zależą od bezpieczeństwa swoich systemów przechowywania, walidacji i przetwarzania wiadomości. Awarie w którymkolwiek z tych punktów mogą przerwać umorzenia, nawet gdy bazowy blockchain działa normalnie.
Dla użytkowników z USA bezpośrednim problemem jest kwestia operacyjna, a nie zmiana federalnych przepisów dotyczących kryptowalut. Amerykańscy posiadacze korzystający z L-BTC stają w obliczu tych samych zawieszonych depozytów, wypłat i usług peg, co inni użytkownicy, podczas gdy natywne BTC przechowywane bezpośrednio w blockchainie Bitcoin są oddzielone od systemu sidechain Liquid.
Liquid nie ujawnił, czy zwrócone 3400 BTC w pełni przywróciło zabezpieczenie odpowiadającej podaży L-BTC. Sieć nie poinformowała również, jak planuje poradzić sobie z luką stworzoną przez 598,5 BTC nadal kontrolowanych przez aktorów.
Nie podano terminu ponownego otwarcia węzłów mostu, a giełdy wciąż były proszone o utrzymanie zawieszonych depozytów i wypłat L-BTC. Blockstream nie opublikował również obiecanego technicznego opisu usterki ani nie potwierdził, czy aktorzy zamierzają zwrócić pozostałe bitcoiny.
