Liquid Networkによると、BlockstreamはLiquid Networkのエクスプロイト後に未回収となっている約598.5 BTCの回収に向け、攻撃に関与した人物らと交渉している。

攻撃者らは月曜日に3,400 BTCを返還したが、資金の約15%が未返還のままだ。Liquidが示した数字に基づくと、未回収のビットコインは約4,700万ドル相当となる。

Liquid Networkは火曜日、サイドチェーンを支えるビットコイン・インフラ企業Blockstreamが、ネットワークを悪用して約3億2,000万ドル相当のビットコインを流出させた、依然として身元が特定されていない人物らとの協議を続けていると発表した。

「残る資金の返還を確保するため、Blockstreamと関係者との協議は継続しています」とLiquidはXへのインシデント報告で述べた。

交渉の発端は、日曜日に約4,000 BTCが引き出されたことだ。Liquidの基盤ソフトウェアであるElementsの脆弱性により、裏付けのないL-BTCトークンが生成され、Liquidの準備金に保管されていたビットコインと交換された。関係者らは月曜日に3,400 BTCを返還したが、約600 BTC、約4,700万ドル相当がなお行方不明となっている。

Liquidは、協議の条件を明らかにせず、残るビットコインの回収時期も示していない。

Liquidによると、関係者らはトークンを生成した後、Liquid Federationのメンバーで出金サービスを運営するSideSwapを通じてビットコインを交換した。ソフトウェアの取引チェックは、出金処理が始まる前に、裏付けのないトークンを有効なものとして受け入れていた。

開発者らは「ペグアウトが開始される前の取引レベルで検証エラーが発生したため、SideSwapのノードと、Liquid Networkに分散配置されたファンクショナリーノードの双方がLBTCを有効なものとして受け入れました」と記した。

Liquidの説明では、問題はソフトウェアの取引検証経路で発生した。同社は、フェデレーションのファンクショナリーはハッキングされず、秘密鍵も侵害されていないと述べた。この違いは、緊急ソフトウェアアップデートやネットワーク状態の修正を含む復旧策に影響する。

Liquidの準備金は、エクスプロイトに関連する出金と、運用停止前に処理されたその他の出金の後、約4,205 BTCから197 BTCに減少した。Liquidによると、脆弱性はUSDTやLiquid上で発行されたその他のトークンには影響しなかったが、ネットワークが停止している間、ユーザーは取引できなかった。

「Liquid Federationのファンクショナリーはハッキングされておらず、秘密鍵も侵害されていません」とLiquidは述べた。「ホワイトリスト登録されたアドレスへの出金を承認するペグアウト機構は、設計どおりに動作しました」

エクスプロイト発生時、関係者らはビットコインのブロックチェーンに記録されたメッセージで、自らをホワイトハットのセキュリティ研究者だと名乗った。しかし、資金の大半が返還された後も、Ledgerの最高技術責任者Charles Guillemet氏を含む一部の関係者は、その主張に懐疑的な見方を示した。

「『ホワイトハット』はまだ600 BTCを保有している」とGuillemet氏はXに投稿した。「これがオンチェーンで署名された暗号化契約に基づく交渉済みの報酬だったとしても、ホワイトハットによるハッキングというより、恐喝に見える！」

Liquid Networkの開発者によると、Blockstreamは修正プログラムの審査を進める間、緊急アップデートを準備している。これは月曜日にネットワークのブリッジノードへパッチを適用した後の対応となる。アップデートが確定すれば、ネットワーク運営者は運用を再開し、無効な出金を拒否するなど、ネットワークの状態を修正するための追加措置を講じる。

「当面の最優先事項は、残る資金を回収し、安全かつ可能な限り迅速に通常のネットワーク運用を再開することです」とLiquidは述べた。

出典: Decrypt