Het Liquid Network heeft zijn Bitcoin-sidechain gepauzeerd nadat bijna 4.000 BTC — met een waarde van ongeveer 320 miljoen dollar — via een SideSwap-peg-out de federatie-wallet verliet, waarmee de reserve daalde van ruwweg 4.200 BTC naar ongeveer 200 BTC.

Het beveiligingsincident vond plaats op 6 september en haalde ongeveer 95% van het Bitcoin de L-BTC weg. Vervolgens werden de bridge-nodes uitgeschakeld, waardoor nieuwe transacties Liquid niet meer konden betreden, terwijl exchanges de opdracht kregen om stortingen en opnames van L-BTC te schorsen.

SideSwap-peg-out gaf 3.996 BTC vrij

De opname verliep via SideSwap's Peg-out Authorization Key (PAK), die bevoegd is om Bitcoin-inwisselingen aan te vragen bij de Liquid-federatie. Een klant stuurde kort na 14:05 UTC bijna 4.000 L-BTC via de peg-outdienst van SideSwap, en de federatie gaf om 14:28 UTC ongeveer 3.996 BTC vrij op Bitcoin.

De autorisatiesleutel van SideSwap is niet gecompromitteerd, en Liquid heeft ook geen compromittering vastgesteld van de andere handtekeningsleutels van de federatie. De aangeboden L-BTC ontstond daarentegen door een kennelijke bug in Elements, de open-sourcesoftware waarop Liquid is gebouwd. Dat onderscheid maakt het incident wezenlijk anders dan een gestolen bridge-sleutel of een overname van een multisig: de peg-out volgde een geautoriseerd pad, maar de L-BTC die dat proces inging had niet mogen bestaan zonder bijbehorende Bitcoin-dekking. Een technische analyse van de precieze kwetsbaarheid in Elements is nog niet gepubliceerd.

Elements is de open-source-codebase waarop Liquid is gebouwd, en omdat deze publiek wordt ontwikkeld, kan een bevestigde kwetsbaarheid daar relevant zijn voor andere projecten die op dezelfde software bouwen — een reden waarom de verwachte technische evaluatie waarschijnlijk brede aandacht zal trekken, ook buiten Liquid zelf.

Bitcoin verplaatst naar adres dat zich 'whitehats' noemt

De opgenomen fondsen zijn samengevoegd in een Bitcoin-adres met ongeveer 3.998 BTC. Een transactie op de blockchain bevatte de boodschap: "we are whitehats. contact us on chain." Blockstream antwoordde via Bitcoin met contactgegevens van haar securityteam, terwijl pogingen begonnen om contact te leggen met de beheerders van het adres.

De typering als whitehat is nog niet geverifieerd. Ledger-CTO Charles Guillemet zette vraagtekens bij de aanpak en stelde dat het vrijwel volledig leeghalen van een bridge-reserve vóór het zoeken van contact buiten de gangbare praktijk van verantwoorde disclosure valt. Vroeg op 7 september stond de Bitcoin nog geconcentreerd in het geïdentificeerde adres, in plaats van te bewegen via exchanges, mixers of cross-chain-diensten.

Recente aanvallers kozen na het verkrijgen van Bitcoin zeer andere routes. Fondsen uit de Coldcard Wave 3-aanval begonnen vorige week via THORChain te bewegen, waarbij BTC werd omgezet in ETH terwijl onderzoekers de nieuwe bestemmingsadressen volgden. Of de fondsen in deze zaak op hun plaats blijven — een voorwaarde voor eventueel onderhandeld teruggeven — is de meest directe vraag voor wie het adres volgt.

Liquid blijft gepauzeerd tijdens onderzoek naar Elements-bug

Liquid, ontwikkeld door Blockstream en gelanceerd in 2018, vertegenwoordigt op Bitcoin vergrendelde BTC als L-BTC op zijn sidechain, waarbij federatieleden de infrastructuur beheren die peg-ins en peg-outs beveiligt. USDT, DePix en andere activa die op Liquid zijn uitgegeven werden niet rechtstreeks getroffen door de ongeautoriseerde creatie van L-BTC, al verhindert de netwerkpauze de normale verwerking van transacties — waardoor houders van die activa niet kunnen handelen tot het netwerk herstart.

Het voorval wijkt ook af van gebruikelijke bridge-incidenten zoals de exploit van AFX Trade ter waarde van 24,15 miljoen dollar, waarbij validator-handtekeningen een ongeautoriseerde USDC-opname uit bridge-reserves goedkeurden.

Vroeg op 7 september bleven de Liquid bridge-nodes uitgeschakeld, hielden exchanges de stortingen en opnames van L-BTC geschorst, en stond er nog steeds ongeveer 3.998 BTC op het Bitcoin-adres dat met de opname in verband wordt gebracht. Belangrijke openstaande punten zijn of de beheerders van het adres reageren op het contact van Blockstream, de publicatie van een technische analyse van de Elements-bug, en het tijdspad voor het herstellen van de L-BTC-dekking voordat het netwerk veilig kan herstarten.

Bron: Crypto Adventure