La Liquid Network ha dichiarato domenica che presunti hacker white-hat hanno prelevato circa 4.000 bitcoin, per un valore di circa 320 milioni di dollari, dal wallet della federazione che garantisce L-BTC. I bridge node sono stati disattivati e la sidechain è stata messa in pausa, mentre gli altri asset emessi — tra cui USDT, DePix e RWA — non sono stati colpiti, come annunciato dall'account ufficiale su X. L'incidente è una delle perdite più grandi mai registrate legate a una sidechain di Bitcoin e richiama l'attenzione sui compromessi di sicurezza dei bridge federati, in cui la fiducia è riposta in un consorzio di funzionari anziché in un meccanismo pubblico di proof-of-reserve applicato dal layer base di Bitcoin stesso.

La Liquid Network è una sidechain federata di Bitcoin fondata da Blockstream di Adam Back e lanciata nel 2018. Emette una varietà di asset, come LBTC, garantiti da BTC sulla chain principale di Bitcoin e custoditi in un'ampia multisig di 15 membri corporativi noti, tra cui exchange e società di infrastruttura. Undici dei 15 membri devono firmare una transazione multi-firma valida per muovere le monete dalla cassa. Tether emette anche USDT su Liquid, motivo per cui gli altri asset emessi dalla rete sono stati motivo di preoccupazione per i detentori questa settimana. Prima dell'attacco la cassa conteneva oltre 4.200 BTC; in seguito, la pagina di proof of reserves di Blockstream riportava poco più di 207 BTC rimanenti.

Gli hacker hanno prelevato 4.019,4 BTC dall'indirizzo di riserva in una transazione di peg-out utilizzando la SideSwap Peg-out Authorization Key, visibile su mempool.space. SideSwap è un exchange di bridge e membro della Liquid Federation. Sebbene il meccanismo dell'attacco non sia stato confermato, gli attaccanti sembrano aver sfruttato un bug di inflazione sulla sidechain LBTC per creare più di 4.000 LBTC inesistenti in precedenza, incassandoli poi in bitcoin on-chain dalla federazione. Poiché la transazione appariva valida a causa del bug di consenso, i server di sicurezza HSM dei membri della federazione hanno firmato la transazione di prelievo di BTC, del valore di circa 320 milioni di dollari all'epoca. Da notare che i dispositivi hardware di firma hanno funzionato come progettato — la vulnerabilità, se confermata, risiederebbe nelle regole di consenso della sidechain, che hanno validato gli LBTC fraudolenti come legittimi.

L'hacker ha trasferito i fondi su un indirizzo che termina con 6gyqjlte, da cui ha rapidamente firmato una nuova transazione con un messaggio nel campo dati arbitrario OP_RETURN recante: "we are whitehats. contact us on chain." Al momento della stesura, quelle monete si trovavano ancora a quell'indirizzo.

È seguita una piccola transazione sulla mainnet verso l'indirizzo dell'hacker, con un messaggio OP_RETURN recante "Please contact security@blockstream.com" — presumibilmente da un indirizzo pubblico di Blockstream, sebbene ciò resti non confermato. Una successiva spesa OP_RETURN dall'indirizzo dell'hacker riportava "Please contact us on Signal @m671aw.70"; potrebbe però trattarsi di spam, poiché non condivide un collegamento con l'indirizzo che detiene i fondi rubati.

In risposta alla violazione, agli exchange è stato chiesto di sospendere depositi e prelievi di L-BTC. I bridge node sulla Liquid Network sono stati messi in pausa, limitando l'accesso alla sidechain, che continua comunque a produrre blocchi.

L'amministratore delegato di JAN3, Samson Mow, ha dichiarato su X che le funzionalità Liquid di Aqua sono state interessate e che il bitcoin on-chain continuava a funzionare. Anche altri wallet del settore che utilizzano la Liquid Network dovrebbero essere colpiti. Gli utenti che detengono LBTC si trovano ora di fatto con i propri risparmi a rischio, poiché il BTC sottostante non è attualmente riscattabile.

Data la natura privata della chain Liquid, le analisi on-chain sulle disponibilità degli utenti sono scarse e esistono poche informazioni pubbliche su quanto LBTC sia detenuto da utenti retail rispetto a società o a Blockstream stessa. Qualora i fondi non venissero restituiti, si tratterebbe di un duro colpo per la base di utenti della Liquid Network e per il più ampio modello di sidechain federata, che dipende dalla fiducia degli utenti nell'integrità delle riserve ancorate. I detentori di LBTC hanno poche opzioni se non attendere l'esito dei contatti con gli hacker. Vista la scala del furto, sarebbe difficile — anche se forse non impossibile — per gli hacker farla franca con tutto quel bitcoin, poiché i fondi rubati si trovano su un indirizzo pubblicamente osservabile e qualsiasi tentativo di muoverli attraverso servizi regolamentati attirerebbe controlli. Un esito possibile è che gli hacker chiedano una ricompensa e restituiscano la maggior parte dei fondi.

Questo articolo è apparso per la prima volta su Bitcoin Magazine ed è scritto da Juan Galt.