La rete Liquid ha messo in pausa la propria sidechain Bitcoin dopo che quasi 4.000 BTC — per un valore di circa 320 milioni di dollari — hanno lasciato il wallet della federazione tramite un peg-out su SideSwap, riducendo la riserva da circa 4.200 BTC a circa 200 BTC.

L'incidente di sicurezza si è verificato il 6 settembre e ha rimosso circa il 95% del Bitcoin che garantiva gli L-BTC. I bridge node sono stati successivamente disabilitati, impedendo alle nuove transazioni di entrare in Liquid, mentre agli exchange è stato chiesto di sospendere depositi e prelievi di L-BTC.

Il peg-out su SideSwap ha rilasciato 3.996 BTC

Il prelievo è passato per la Peg-out Authorization Key (PAK) di SideSwap, autorizzata a richiedere riscatti di Bitcoin dalla federazione di Liquid. Un cliente ha inviato circa 4.000 L-BTC tramite il servizio di peg-out di SideSwap poco dopo le 14:05 UTC, e la federazione ha rilasciato circa 3.996 BTC su Bitcoin alle 14:28 UTC.

La chiave di autorizzazione di SideSwap non è stata compromessa, né Liquid ha riscontrato una compromissione delle altre chiavi di firma della federazione. Gli L-BTC presentati per il riscatto provenivano invece da un apparente bug in Elements, il software open source alla base di Liquid. Questa distinzione rende l'incidente materialmente diverso dal furto di una chiave di bridge o da una presa di controllo di una multisig: il peg-out ha seguito un percorso autorizzato, ma gli L-BTC entrati in quel processo non sarebbero dovuti esistere con una corrispondente copertura in Bitcoin. Un'analisi tecnica della vulnerabilità esatta di Elements non è ancora stata pubblicata.

Elements è la base di codice open source su cui è costruito Liquid e, poiché è sviluppata pubblicamente, qualsiasi vulnerabilità confermata potrebbe avere rilevanza per altri progetti basati sullo stesso software — un motivo per cui il post-mortem tecnico in arrivo è destinato ad attirare ampia attenzione oltre a Liquid stessa.

Il Bitcoin si sposta su un indirizzo che dichiara di essere 'whitehat'

I fondi prelevati sono stati consolidati in un indirizzo Bitcoin contenente circa 3.998 BTC. Una transazione on-chain includeva il messaggio: "we are whitehats. contact us on chain." Blockstream ha risposto tramite Bitcoin con i contatti del proprio team di sicurezza, mentre iniziavano i tentativi di stabilire una comunicazione con i controllori dell'indirizzo.

La caratterizzazione come whitehat non è stata verificata. Il CTO di Ledger, Charles Guillemet, ha messo in discussione l'approccio, sostenendo che prosciugare quasi un'intera riserva di bridge prima di cercare un contatto esula dalle consuete pratiche di divulgazione responsabile. Il Bitcoin è rimasto concentrato nell'indirizzo identificato nelle prime ore del 7 settembre, anziché transitare per exchange, mixer o servizi cross-chain.

Recenti aggressori hanno seguito strade molto diverse dopo aver ottenuto Bitcoin. I fondi dell'attacco Coldcard Wave 3 hanno cominciato a muoversi attraverso THORChain la settimana scorsa, convertendo BTC in ETH mentre gli investigatori monitoravano i nuovi indirizzi di destinazione. Se i fondi in questo caso resteranno fermi — una condizione preliminare per qualsiasi restituzione negoziata — rimane la questione immediata per chi osserva l'indirizzo.

Liquid resta in pausa mentre il bug di Elements viene analizzato

Liquid, sviluppata da Blockstream e lanciata nel 2018, rappresenta BTC bloccati su Bitcoin come L-BTC sulla propria sidechain, con i membri della federazione che gestiscono l'infrastruttura a salvaguardia di peg-in e peg-out. USDT, DePix e altri asset emessi su Liquid non sono stati direttamente colpiti dalla creazione non autorizzata di L-BTC, sebbene la pausa della rete impedisca l'elaborazione normale delle transazioni — lasciando i detentori di tali asset impossibilitati a transare fino alla ripresa della rete.

L'episodio si distingue anche dai classici prosciugamenti di bridge come l'exploit da 24,15 milioni di dollari di AFX Trade, in cui le firme dei validatori hanno autorizzato un prelievo non autorizzato di USDC dalle riserve del bridge.

Alle prime ore del 7 settembre, i bridge node di Liquid restavano disabilitati, gli exchange mantenevano sospesi depositi e prelievi di L-BTC e circa 3.998 BTC restavano all'indirizzo Bitcoin collegato al prelievo. Le questioni aperte principali riguardano se i controllori dell'indirizzo risponderanno al contatto di Blockstream, la pubblicazione di un'analisi tecnica del bug di Elements e i tempi per ripristinare la riserva a garanzia degli L-BTC prima che la rete possa riprendere in sicurezza.

Fonte: Crypto Adventure