Liquid Network erhält 3.400 BTC nach Bridge-Exploit zurück

Das Liquid Network hat 3.400 $BTC – im Wert von etwa 269,2 Millionen Dollar – von den selbsternannten White-Hat-Hackern zurückerhalten, die für einen Abzug von 4.000 $BTC verantwortlich waren, wobei noch fast 47 Millionen Dollar in Bitcoin ausstehen.

85 % des abgezogenen Bitcoin zurückgegeben

On-Chain-Daten zeigen, dass die Akteure 3.400 $BTC – bei Bestätigung rund 268,2 Millionen Dollar wert – an die Liquid-Federation-Wallet im Bitcoin-Block 965.950 zurückgaben. Die Überweisung stellte etwa 85 % der abgezogenen Gelder wieder her, während 598,5 $BTC im Wert von rund 47 Millionen Dollar in der Adresse der Akteure verblieben.

Blockstream hatte der Gruppe zuvor über eine signierte Transaktionsnachricht mitgeteilt, dass ihre Bridge-Knoten gepatcht worden seien und die Gelder „sicher zurückgegeben werden können“. Die Akteure haben nicht öffentlich erklärt, warum sie die verbleibenden Coins einbehalten haben oder ob eine weitere Rückzahlung folgen wird.

Der Vorfall begann am Sonntag, als ein Kunde 4.000 Liquid Bitcoin (L-$BTC) an SideSwaps Peg-out-Service sendete, der Nutzern ermöglicht, Wert über einen autorisierten Abzugsprozess von der Liquid-Sidechain zurück ins Bitcoin-Netzwerk zu übertragen.

Die Akteure bezeichneten sich später in einer an eine Bitcoin-Transaktion angehängten Nachricht als „Whitehats“. White-Hat-Hacker finden und melden üblicherweise Sicherheitslücken, damit Entwickler diese beheben können, und erhalten oft eine Bounty zu Bedingungen, die mit dem betroffenen Projekt vereinbart wurden. Allerdings hat keine öffentlich bekanntgegebene Vereinbarung belegt, dass die Liquid-Akteure eine Berechtigung zum Abzug der Gelder hatten, und weder Blockstream noch die Akteure haben Bedingungen veröffentlicht, die eine Bounty gewähren oder der Gruppe das Einbehalten von fast 600 $BTC erlauben.

Wie crypto.news vor der Rückgabe berichtete, hatten die Akteure angeboten, „den Großteil“ des Bitcoin zurückzuschicken, sobald Blockstream die Schwachstelle behoben habe. Zu diesem Zeitpunkt war keine Rückzahlung bestätigt, und der Abzug stellte etwa 95 % des Bitcoin dar, das Berichten zufolge in Liquids Federation-Wallet gehalten wurde.

On-Chain-Nachrichten gingen der Rückgabe von 3.400 $BTC voraus

Die Kommunikation zwischen Blockstream und den Akteuren erfolgte über Nachrichten, die an Bitcoin-Transaktionen angehängt waren, sodass beide Seiten Anweisungen austauschen konnten, ohne auf einen privaten Nachrichtendienst angewiesen zu sein.

In einer solchen Nachricht forderten die Akteure Blockstream auf, die Schwachstelle vor der Rückgabe des Bitcoin zu beheben:

„Please fix the bug first“, hieß es in der Nachricht. „The chain is under risk at latest commit right now. Make sure every node is patched. Then we will transfer the money back safely after confirming the fix.“

Nach dieser Bestätigung sandten die Akteure 3.400 $BTC an die Liquid-Federation-Adresse. Der Austausch zeigt, dass die Rückzahlung davon abhing, dass die Akteure Blockstreams Zusicherung akzeptierten, die betroffenen Knoten seien sicher, obwohl keine Seite einen technischen Bericht veröffentlicht hat, der die Schwachstelle identifiziert oder erklärt, wie der Abzug möglich wurde.

Nachdem Liquid die Transaktion entdeckt hatte, deaktivierte das Netzwerk seine Bridge-Knoten und bat Börsen, Ein- und Auszahlungen von L-$BTC auszusetzen. Die Abschaltung beschränkte die Bewegung zwischen Liquid und der Bitcoin-Basisschicht, während Entwickler den Vorfall untersuchten und den Patch anwandten.

Laut Reuters hat Blockstream erklärt, der beim Abzug verwendete Schlüssel sei nicht kompromittiert worden. Das Unternehmen hat keinen vollständigen Abschlussbericht veröffentlicht, der darlegt, ob die Schwachstelle SideSwap, die Bridge-Software, Liquids Elements-Codebasis oder einen anderen Teil des Peg-out-Prozesses betraf.

Der Vorfall ist der jüngste in einer langen Reihe sicherheitsrelevanter Bridge-Zwischenfälle. Cross-Chain-Bridges gehören wiederholt zu den größten Krypto-Verlusten der Geschichte – der Ronin-Network-Angriff im Jahr 2022 führte zu rund 600 Millionen Dollar an gestohlenen Vermögenswerten, und der Wormhole-Bridge-Exploit im selben Jahr verursachte Verluste von etwa 325 Millionen Dollar. Dies verdeutlicht das systemische Risiko, das Verwahrungs- und Nachrichtenverarbeitungsschichten einführen, wenn Vermögenswerte auf einer Chain gesperrt und auf einer anderen repräsentiert werden.

Ledger-CTO stellt die White-Hat-Bezeichnung infrage

Ledgers Chief Technology Officer Charles Guillemet stellte die Selbstbeschreibung der Akteure infrage, nachdem diese den Großteil der Coins zurückgegeben, aber fast 600 $BTC einbehalten hatten.

„So, 3,400 $BTC were refunded“, schrieb Guillemet auf X. „The 'white hats' still hold 600 $BTC. If this was ever a negotiated reward under an encrypted contract signed on-chain, it looks more like extortion than white-hat hacking!“

Sein Kommentar konzentrierte sich auf das Fehlen offengelegter Bedingungen für den einbehaltenen Bitcoin. Eine herkömmliche Bug-Bounty legt üblicherweise Belohnung und Rückgabebedingungen fest, bevor ein Forscher einen Teil der betroffenen Gelder behält; eine vergleichbare Vereinbarung zwischen Blockstream und den Akteuren wurde nicht öffentlich gemacht.

Ein ähnlicher Fall trat nach dem Verus-Ethereum-Bridge-Exploit im Mai auf, als der Angreifer 75 % der gestohlenen Gelder zurückgab und 1.350 ETH – damals rund 2,8 Millionen Dollar wert – einbehielt, nachdem Verus öffentlich Vergleichsbedingungen angeboten hatte. Die Rückzahlung bei Liquid unterscheidet sich darin, dass Blockstream nicht erklärt hat, dass die verbleibenden 598,5 $BTC eine genehmigte Bounty darstellen.

White-Hat-Behauptungen allein bestimmen nicht den rechtlichen Status eines Akteurs. Jede rechtliche Bewertung würde von Faktoren wie der Autorisierung, der Methode der Erlangung der Vermögenswerte, der Kommunikation zwischen den Parteien und den geltenden Gesetzen abhängen. Keine US-Aufsichtsbehörde oder Strafverfolgungsbehörde hat eine mit dem Liquid-Abzug verbundene Maßnahme angekündigt.

L-$BTC-Inhaber warten auf Details zu Deckung und Abhebungen

Liquid ist eine föderierte Bitcoin-Sidechain, die von Blockstream entwickelt wurde. Nutzer sperren $BTC über das Peg-System und erhalten L-$BTC auf der Sidechain im Verhältnis eins zu eins, was schnellere Abwicklungen und Vermögenstransfers ermöglicht, ohne jede Transaktion über die Bitcoin-Basisschicht zu leiten.

Ein kürzlicher Erklärartikel zur Bridge-Sicherheit stellte fest, dass Systeme, die Vermögenswerte in einem Netzwerk sperren und woanders entsprechende Token ausgeben, von der Sicherheit ihrer Verwahrungs-, Validierungs- und Nachrichtenverarbeitungssysteme abhängen. Ausfälle an jedem dieser Punkte können Einlösungen unterbrechen, selbst wenn die zugrunde liegende Blockchain normal weiterläuft.

Für Nutzer in den USA ist das unmittelbare Problem operativer Natur und keine Änderung der bundesstaatlichen Krypto-Regeln. Amerikanische Inhaber von L-$BTC sehen sich denselben ausgesetzten Einzahlungen, Abhebungen und Peg-Diensten gegenüber wie andere Nutzer, während natives $BTC, das direkt auf der Bitcoin-Blockchain gehalten wird, vom Sidechain-System von Liquid getrennt ist.

Liquid hat nicht offengelegt, ob die zurückgegebenen 3.400 $BTC die Deckung für das entsprechende L-$BTC-Angebot vollständig wiederhergestellt haben, noch wie das Netzwerk mit einer Lücke umzugehen gedenkt, die durch die 598,5 $BTC entsteht, die noch von den Akteuren kontrolliert werden. Wie die Federation mit einem möglichen Fehlbetrag umgeht – ob durch Rückgewinnung der verbleibenden Coins, andere Reserven oder einen anderen Mechanismus – bleibt für Inhaber eine offene Frage.

Für die Bridge-Knoten wurde kein Zeitpunkt für die Wiedereröffnung genannt, und Börsen wurden weiterhin aufgefordert, Ein- und Auszahlungen von L-$BTC ausgesetzt zu lassen. Blockstream hat zudem den versprochenen technischen Bericht zur Schwachstelle nicht veröffentlicht noch bestätigt, ob die Akteure beabsichtigen, das verbleibende Bitcoin zurückzugeben.