Das Liquid Network hat seine Bitcoin-Sidechain pausiert, nachdem fast 4.000 BTC – im Wert von rund 320 Millionen Dollar – über einen SideSwap-Peg-Out die Federations-Wallet verlassen hatten. Dadurch sank die Reserve von etwa 4.200 BTC auf rund 200 BTC.

Der Sicherheitsvorfall ereignete sich am 6. September und beseitigte rund 95 % des Bitcoin, das L-BTC als Deckung diente. Anschließend wurden die Bridge-Knoten deaktiviert, um zu verhindern, dass neue Transaktionen in Liquid eingehen, während Börsen angewiesen wurden, L-BTC-Einzahlungen und -Auszahlungen auszusetzen.

SideSwap-Peg-Out gab 3.996 BTC frei

Die Auszahlung lief über SideSwaps Peg-out Authorization Key (PAK), der berechtigt ist, Bitcoin-Einlösungen von der Liquid-Federation anzufordern. Ein Kunde sendete kurz nach 14:05 UTC rund 4.000 L-BTC über SideSwaps Peg-out-Dienst, und die Federation gab um 14:28 UTC approximately 3.996 BTC auf Bitcoin frei.

Der SideSwap-Autorisierungsschlüssel wurde nicht kompromittiert, und Liquid hat auch keine Kompromittierung der anderen Signaturschlüssel der Federation festgestellt. Das zur Einlösung vorgelegte L-BTC stammte stattdessen aus einem offenbaren Fehler in Elements, der Open-Source-Software, auf der Liquid basiert. Diese Unterscheidung macht den Vorfall grundlegend anders als einen gestohlenen Bridge-Schlüssel oder eine Multisig-Übernahme: Der Peg-Out folgte einem autorisierten Weg, doch das L-BTC, das in diesen Prozess einging, hätte nie mit entsprechender Bitcoin-Deckung existieren dürfen. Eine technische Analyse der genauen Elements-Schwachstelle wurde bislang nicht veröffentlicht.

Elements ist die Open-Source-Codebasis, auf der Liquid aufbaut. Da sie öffentlich entwickelt wird, könnte eine bestätigte Schwachstelle dort auch für andere Projekte relevant sein, die auf derselben Software aufbauen – ein Grund, warum der ausstehende technische Bericht voraussichtlich auch über Liquid hinaus breite Aufmerksamkeit erhalten dürfte.

Bitcoin wandert in Adresse, die sich als „Whitehats“ bezeichnet

Die abgehobenen Mittel wurden in einer Bitcoin-Adresse mit rund 3.998 BTC konsolidiert. Eine Onchain-Transaktion enthielt die Nachricht: „we are whitehats. contact us on chain.“ Blockstream antwortete über Bitcoin mit Kontaktinformationen seines Sicherheitsteams, während die Bemühungen begannen, eine Verbindung zu den Kontrollern der Adresse aufzubauen.

Die Charakterisierung als White-Hat ist bislang nicht verifiziert. Ledger-CTO Charles Guillemet zweifelte das Vorgehen an und argumentierte, dass das Abziehen fast der gesamten Bridge-Reserve vor der Kontaktaufnahme nicht den üblichen Praktiken der verantwortungsvollen Offenlegung entspreche. Das Bitcoin verblieb am frühen 7. September konzentriert in der identifizierten Adresse, statt über Börsen, Mixer oder Cross-Chain-Dienste bewegt zu werden.

Jüngste Angreifer sind nach dem Erhalt von Bitcoin sehr unterschiedliche Wege gegangen. Mittel aus dem Coldcard-Wave-3-Angriff begannen letzte Woche, über THORChain transferiert zu werden, wobei BTC in ETH umgewandelt wurde, während Ermittler die neuen Zieladressen verfolgten. Ob die Mittel im vorliegenden Fall an Ort und Stelle bleiben – eine Voraussetzung für eine etwaige ausgehandelte Rückgabe – ist die unmittelbare Frage für Beobachter, die die Adresse verfolgen.

Liquid bleibt pausiert, während der Elements-Fehler untersucht wird

Liquid, von Blockstream entwickelt und 2018 gestartet, bildet auf Bitcoin gesperrtes BTC als L-BTC auf seiner Sidechain ab, wobei die Federations-Mitglieder die Infrastruktur betreiben, die Peg-ins und Peg-outs absichert. USDT, DePix und andere auf Liquid ausgegebene Assets waren von der unbefugten L-BTC-Erzeugung nicht direkt betroffen, obwohl die Netzwerkpause die normale Transaktionsverarbeitung verhindert – was Inhabern dieser Assets bis zur Wiederaufnahme des Netzwerks keine Transaktionen ermöglicht.

Der Vorfall unterscheidet sich auch von klassischen Bridge-Entleerungen wie dem 24,15-Millionen-Dollar-Exploit bei AFX Trade, bei dem Validatoren-Signaturen eine unbefugte USDC-Auszahlung aus Bridge-Reserven autorisierten.

Stand früher 7. September blieben die Liquid-Bridge-Knoten deaktiviert, Börsen hielten L-BTC-Ein- und -Auszahlungen ausgesetzt, und rund 3.998 BTC verblieben in der mit der Auszahlung verbundenen Bitcoin-Adresse. Zu den offenen Punkten gehören, ob die Kontroller der Adresse auf Blockstreams Kontaktaufnahme reagieren, die Veröffentlichung einer technischen Analyse des Elements-Fehlers sowie der Zeitplan zur Wiederherstellung der L-BTC-Deckung, bevor das Netzwerk sicher den Betrieb wieder aufnehmen kann.

Quelle: Crypto Adventure