Liquid Network recupera 3.400 BTC dopo l’exploit del bridge

Liquid Network ha recuperato 3.400 $BTC — per un valore di circa $269,2 milioni — dagli autodefiniti hacker white hat dietro un prelievo di 4.000 $BTC, anche se restano in sospeso quasi $47 milioni in Bitcoin.

Restituito l’85% dei Bitcoin prelevati

I dati on-chain mostrano che gli attori hanno restituito 3.400 $BTC, pari a circa $268,2 milioni al momento della conferma, al wallet della Liquid Federation nel blocco Bitcoin 965,950. Il trasferimento ha recuperato circa l’85% dei fondi prelevati, mentre 598,5 $BTC, per un valore di circa $47 milioni, sono rimasti nell’indirizzo degli attori.

Blockstream aveva in precedenza comunicato al gruppo, tramite un messaggio di transazione firmato, che i suoi bridge node erano stati patchati e che i fondi erano “safe to return”. Gli attori non hanno spiegato pubblicamente perché abbiano trattenuto le monete residue né indicato se seguirà un altro rimborso.

L’incidente è iniziato domenica quando un cliente ha inviato 4.000 Liquid Bitcoin (L-$BTC) al servizio di peg-out di SideSwap, che consente agli utenti di spostare valore dalla sidechain Liquid alla rete Bitcoin tramite una procedura di prelievo autorizzata.

Gli attori si sono poi identificati come “whitehats” in un messaggio allegato a una transazione Bitcoin. In genere gli hacker white hat individuano e segnalano vulnerabilità di sicurezza affinché gli sviluppatori possano correggerle, ricevendo spesso una bounty secondo i termini concordati con il progetto coinvolto. Tuttavia, non esiste alcun accordo reso pubblico che stabilisca che gli attori di Liquid fossero autorizzati a prelevare i fondi, e né Blockstream né gli attori hanno pubblicato termini che concedano una bounty o consentano al gruppo di trattenere quasi 600 $BTC.

Come riportato da crypto.news prima del ritorno, gli attori avevano offerto di restituire “most” dei Bitcoin una volta che Blockstream avesse corretto la vulnerabilità. In quel momento non era stato confermato alcun rimborso e il prelievo rappresentava circa il 95% dei Bitcoin che, secondo quanto riferito, erano detenuti nel wallet della federation di Liquid.

I messaggi on-chain hanno preceduto il rimborso di 3.400 $BTC

La comunicazione tra Blockstream e gli attori è avvenuta tramite messaggi allegati alle transazioni Bitcoin, consentendo a entrambe le parti di scambiarsi istruzioni senza fare affidamento su un servizio di messaggistica privato.

In uno di questi messaggi, gli attori hanno detto a Blockstream di correggere il difetto prima di restituire i Bitcoin:

“Please fix the bug first,” recitava il messaggio. “The chain is under risk at latest commit right now. Make sure every node is patched. Then we will transfer the money back safely after confirming the fix.”

Dopo quella conferma, gli attori hanno inviato 3.400 $BTC all’indirizzo della Liquid Federation. Lo scambio mostra che il rimborso dipendeva dal fatto che gli attori accettassero l’assicurazione di Blockstream secondo cui i nodi interessati erano sicuri, sebbene nessuna delle due parti abbia pubblicato un rapporto tecnico che identifichi il difetto o spieghi come il prelievo sia stato possibile.

Dopo aver rilevato la transazione, Liquid ha disattivato i propri bridge node e ha chiesto agli exchange di sospendere depositi e prelievi di L-$BTC. Lo shutdown ha limitato i movimenti tra Liquid e il layer base di Bitcoin mentre gli sviluppatori indagavano sull’incidente e applicavano la patch.

Secondo Reuters, Blockstream ha affermato che la chiave utilizzata durante il prelievo non è stata compromessa. L’azienda non ha pubblicato un post-mortem completo che chiarisca se il difetto abbia interessato SideSwap, il software del bridge, il codebase Elements di Liquid o un’altra parte del processo di peg-out.

L’episodio è l’ultimo di una lunga serie di incidenti di sicurezza legati ai bridge. I bridge cross-chain sono stati ripetutamente tra le maggiori perdite crypto registrate — la violazione di Ronin Network nel 2022 ha comportato circa 600 milioni di dollari in asset sottratti, e l’exploit del bridge Wormhole nello stesso anno ha causato perdite di circa 325 milioni di dollari — riflettendo il rischio sistemico introdotto dai livelli di custodia e di elaborazione dei messaggi quando gli asset sono bloccati su una chain e rappresentati su un’altra.

Il CTO di Ledger mette in dubbio la descrizione white hat

Il Chief Technology Officer di Ledger, Charles Guillemet, ha contestato l’autodescrizione degli attori dopo che hanno restituito la maggior parte delle monete ma hanno trattenuto quasi 600 $BTC.

“So, 3,400 $BTC were refunded,” ha scritto Guillemet su X. “The 'white hats' still hold 600 $BTC. If this was ever a negotiated reward under an encrypted contract signed on-chain, it looks more like extortion than white-hat hacking!”

Il suo commento si è concentrato sull’assenza di termini resi pubblici che coprano i Bitcoin trattenuti. Una bug bounty convenzionale di solito stabilisce in anticipo le condizioni del premio e della restituzione prima che un ricercatore trattenga parte dei fondi interessati, mentre non è stato reso pubblico alcun accordo comparabile tra Blockstream e gli attori.

Un caso simile è emerso dopo l’exploit del bridge Ethereum di Verus a maggio. In quell’occasione, l’attaccante ha restituito il 75% dei fondi sottratti e ha trattenuto 1.350 ETH, allora pari a circa $2,8 milioni, dopo che Verus aveva offerto pubblicamente condizioni di accordo. Il rimborso di Liquid è diverso perché Blockstream non ha affermato che i restanti 598,5 $BTC costituiscano una bounty approvata.

Le dichiarazioni di white hat, da sole, non determinano lo status legale di un attore. Qualsiasi valutazione giuridica dipenderebbe da fattori quali l’autorizzazione, il metodo usato per ottenere gli asset, le comunicazioni tra le parti e le leggi applicabili. Nessun regolatore o organo di polizia statunitense ha annunciato un’azione collegata al prelievo da Liquid.

I titolari di L-$BTC attendono dettagli su copertura e prelievi

Liquid è una sidechain Bitcoin federata sviluppata da Blockstream. Gli utenti bloccano $BTC tramite il suo sistema di peg e ricevono L-$BTC sulla sidechain con un rapporto uno a uno, consentendo regolamenti e trasferimenti di asset più rapidi senza spostare ogni transazione sul layer base di Bitcoin.

Un recente approfondimento sulla sicurezza dei bridge spiegava che i sistemi che bloccano asset su una rete e rilasciano token corrispondenti altrove dipendono dalla sicurezza dei sistemi di custodia, validazione ed elaborazione dei messaggi. Guasti in uno qualsiasi di questi punti possono interrompere i rimborsi anche quando la blockchain sottostante continua a funzionare normalmente.

Per gli utenti negli Stati Uniti, il problema immediato è operativo più che normativo rispetto alle regole federali sulle crypto. I titolari americani che usano L-$BTC affrontano le stesse sospensioni di depositi, prelievi e servizi di peg degli altri utenti, mentre gli $BTC nativi detenuti direttamente sulla blockchain di Bitcoin restano separati dal sistema di sidechain di Liquid.

Liquid non ha reso noto se i 3.400 $BTC restituiti abbiano ripristinato بالكامل la copertura per la corrispondente offerta di L-$BTC, né come intenda gestire l’eventuale gap creato dai 598,5 $BTC ancora controllati dagli attori. La rete non ha nemmeno chiarito in che modo affronterà un eventuale deficit — se tramite il recupero delle monete residue, altre riserve o un altro meccanismo —, lasciando la questione aperta per i titolari.

Non è stato indicato alcun orario di riapertura per i bridge node e agli exchange è stato ancora chiesto di mantenere sospesi depositi e prelievi di L-$BTC. Blockstream non ha inoltre pubblicato il previsto resoconto tecnico del difetto né confermato se gli attori intendano restituire i Bitcoin rimanenti.