A Liquid Network recuperou 3.400 BTC no valor de cerca de US$ 269,2 milhões dos hackers de chapéu branco autodeclarados por trás de uma retirada de 4.000 BTC, embora quase US$ 47 milhões ainda estejam pendentes.
Resumo
- Os atores devolveram 3.400 BTC, recuperando cerca de 85% dos fundos retirados.
- Aproximadamente 598,5 BTC, no valor de cerca de US$ 47 milhões, permanecem no endereço vinculado à retirada.
- A Blockstream disse aos atores que seus nós de ponte foram corrigidos antes do reembolso.
- A Liquid não anunciou quando seus serviços de ponte e L-BTC retomarão as operações normais.
Liquid Network recuperou 85% do Bitcoin retirado
Os dados on-chain mostram que os atores devolveram 3.400 BTC, no valor de cerca de US$ 268,2 milhões quando confirmados, para a carteira da Federação Liquid no bloco 965.950 do Bitcoin. A transferência recuperou cerca de 85% dos fundos retirados, enquanto 598,5 BTC no valor de aproximadamente US$ 47 milhões permaneceram no endereço dos atores. A Blockstream havia dito anteriormente ao grupo por meio de uma mensagem de transação assinada que seus nós de ponte foram corrigidos e que os fundos estavam "seguros para devolver".
Cerca de 598,5 BTC, avaliados em aproximadamente US$ 47 milhões, permaneceram no endereço vinculado à retirada após a transferência maior. Os atores não explicaram publicamente por que mantiveram as moedas restantes nem declararam se outro reembolso ocorrerá.
O incidente de domingo começou quando um cliente enviou 4.000 Liquid Bitcoin, ou L-BTC, para o serviço de peg-out da SideSwap. A SideSwap permite que os usuários movam valor da sidechain Liquid de volta para a rede Bitcoin por meio de um processo de retirada autorizado.
Os atores posteriormente se identificaram como "whitehats" em uma mensagem anexada a uma transação Bitcoin. Hackers de chapéu branco geralmente encontram e relatam falhas de segurança para que os desenvolvedores possam corrigi-las, muitas vezes recebendo uma recompensa sob termos acordados com o projeto afetado.
Nenhum acordo divulgado publicamente estabeleceu que os atores da Liquid tinham permissão para retirar os fundos, no entanto. A Blockstream e os atores também não publicaram termos concedendo uma recompensa ou permitindo que o grupo retivesse quase 600 BTC.
Como o crypto.news relatou antes do retorno, os atores ofereceram devolver "a maior parte" do Bitcoin assim que a Blockstream corrigisse a vulnerabilidade. Naquele momento, nenhum reembolso havia sido confirmado, e a retirada representava cerca de 95% do Bitcoin supostamente mantido na carteira da federação da Liquid.
Mensagens on-chain levaram ao reembolso de 3.400 BTC
A comunicação entre a Blockstream e os atores ocorreu por meio de mensagens anexadas a transações Bitcoin, permitindo que ambos os lados trocassem instruções sem depender de um serviço de mensagens privado.
Em uma mensagem de transação, os atores disseram à Blockstream para corrigir a falha antes de devolverem o Bitcoin.
"Por favor, corrija o bug primeiro", dizia a mensagem. "A cadeia está em risco no commit mais recente agora. Certifique-se de que todos os nós sejam corrigidos. Então transferiremos o dinheiro de volta com segurança após confirmar a correção."
Após essa confirmação, os atores enviaram 3.400 BTC para o endereço da Federação Liquid. A troca mostra que o reembolso dependia da aceitação pelos atores da declaração da Blockstream de que os nós afetados estavam seguros, embora nenhum dos lados tenha divulgado um relatório técnico identificando a falha ou explicando como a retirada se tornou possível.
A Liquid desativou seus nós de ponte após detectar a transação e pediu às exchanges que suspendessem depósitos e retiradas de L-BTC. A paralisação restringiu o movimento entre a Liquid e a camada base do Bitcoin enquanto os desenvolvedores investigavam o incidente e aplicavam a correção.
A Blockstream disse que a chave usada durante a retirada não foi comprometida, de acordo com a Reuters. A empresa não divulgou uma análise post-mortem completa detalhando se a falha afetou a SideSwap, o software de ponte, o código-fonte Elements da Liquid ou outra parte do processo de peg-out.
CTO da Ledger questiona a descrição de white-hat
O Diretor de Tecnologia da Ledger, Charles Guillemet, contestou a descrição que os atores fizeram de si mesmos depois de devolverem a maior parte das moedas, mas reterem quase 600 BTC.
“Então, 3.400 BTC foram reembolsados”, escreveu Guillemet no X. “Os ‘white hats’ ainda detêm 600 BTC. Se isso foi alguma vez uma recompensa negociada sob um contrato criptografado assinado on-chain, parece mais extorsão do que hacking white-hat!”
Seu comentário focou na falta de termos divulgados cobrindo o Bitcoin retido. Um bug bounty convencional normalmente define a recompensa e as condições de devolução antes que um pesquisador mantenha parte dos fundos afetados, enquanto nenhum acordo comparável entre a Blockstream e os atores foi tornado público.
Uma questão semelhante surgiu após o exploit da ponte Verus Ethereum em maio. Naquele caso, o atacante devolveu 75% dos fundos roubados e manteve 1.350 ETH, então valendo cerca de US$ 2,8 milhões, depois que a Verus ofereceu publicamente termos de acordo. O reembolso da Liquid difere porque a Blockstream não disse que os 598,5 BTC restantes constituem uma recompensa aprovada.
Alegações de white-hat também não determinam por si mesmas o status legal de um ator. Qualquer avaliação legal dependeria de fatores como autorização, o método usado para obter os ativos, comunicações entre as partes e leis aplicáveis. Nenhum regulador ou agência de aplicação da lei dos EUA anunciou uma ação ligada à retirada da Liquid.
Detentores de L-BTC aguardam detalhes sobre lastro e retiradas
Liquid é uma sidechain federada do Bitcoin desenvolvida pela Blockstream. Os usuários bloqueiam BTC através de seu sistema de peg e recebem L-BTC na sidechain a uma taxa de um para um, permitindo liquidação mais rápida e transferências de ativos sem mover cada transação pela camada base do Bitcoin.
Um explicador de segurança de pontes recente descreveu como sistemas que bloqueiam ativos em uma rede e emitem tokens correspondentes em outro lugar dependem da segurança de seus sistemas de custódia, validação e processamento de mensagens. Falhas em qualquer um desses pontos podem interromper resgates mesmo quando o blockchain subjacente continua operando normalmente.
Para usuários baseados nos EUA, a questão imediata é operacional, e não uma mudança nas regras federais de cripto. Os detentores americanos que usam L-BTC enfrentam os mesmos depósitos, retiradas e serviços de peg suspensos que outros usuários, enquanto BTC nativo mantido diretamente no blockchain do Bitcoin é separado do sistema de sidechain da Liquid.
A Liquid não divulgou se os 3.400 BTC devolvidos restauraram totalmente o lastro para a oferta correspondente de L-BTC. A rede também não disse como planeja lidar com qualquer lacuna criada pelos 598,5 BTC ainda controlados pelos atores.
Nenhum tempo de reabertura foi dado para os nós da ponte, e as exchanges ainda estavam sendo solicitadas a manter depósitos e retiradas de L-BTC suspensos. A Blockstream também não publicou o relato técnico prometido da falha nem confirmou se os atores pretendem devolver o Bitcoin restante.
