Liquid Network herstelt 3.400 BTC na bridge-exploit

Het Liquid Network heeft 3,400 $BTC teruggekregen — ter waarde van ongeveer $269,2 miljoen — van de zelfbenoemde white-hat hackers achter een opname van 4,000 $BTC, hoewel er nog bijna $47 miljoen aan Bitcoin uitstaat.

85% van de opgenomen Bitcoin teruggegeven

On-chain data toont aan dat de daders 3,400 $BTC teruggaven — bij bevestiging ongeveer $268,2 miljoen waard — aan de Liquid Federation wallet in Bitcoin-blok 965,950. Die transactie herstelde circa 85% van de opgenomen fondsen, terwijl 598.5 $BTC, met een waarde van ruwweg $47 miljoen, in het adres van de daders achterbleef.

Blockstream had de groep eerder via een ondertekend transactiebericht laten weten dat haar bridge-nodes waren gepatcht en dat de fondsen "safe to return" waren. De daders hebben niet publiekelijk uitgelegd waarom ze de resterende munten hielden, noch aangegeven of er nog een terugbetaling volgt.

Het incident begon op zondag toen een klant 4,000 Liquid Bitcoin (L-$BTC) naar de peg-outdienst van SideSwap stuurde, waarmee gebruikers via een geautoriseerd opnameproces waarde van de Liquid sidechain terug naar het Bitcoin-netwerk kunnen verplaatsen.

De dagers noemden zichzelf later "whitehats" in een bericht dat aan een Bitcoin-transactie was gekoppeld. White-hat hackers vinden en melden doorgaans beveiligingszwaktes zodat ontwikkelaars ze kunnen repareren, vaak tegen een bounty onder voorwaarden die met het getroffen project zijn overeengekomen. Er bestaat echter geen publiek bekendgemaakte overeenkomst die vastlegt dat de Liquid-dagers toestemming hadden om de fondsen op te nemen, en noch Blockstream noch de daders hebben voorwaarden gepubliceerd die een bounty toekennen of de groep toestaan bijna 600 $BTC te houden.

Zoals crypto.news vóór de teruggave meldde, hadden de dagers aangeboden "het grootste deel" van de Bitcoin terug te sturen zodra Blockstream de kwetsbaarheid had verholpen. Op dat moment was er nog geen terugbetaling bevestigd en vertegenwoordigde de opname ongeveer 95% van de Bitcoin die volgens berichten in de federatiewallet van Liquid werd vastgehouden.

On-chain berichten gingen vooraf aan de terugbetaling van 3,400 $BTC

De communicatie tussen Blockstream en de dagers verliep via berichten die aan Bitcoin-transacties waren gekoppeld, waardoor beide partijen instructies konden uitwisselen zonder gebruik te maken van een privéberich¬tendienst.

In één van die berichten zeiden de dagers tegen Blockstream dat de fout eerst hersteld moest worden voordat ze de Bitcoin zouden teruggeven:

"Please fix the bug first," luidde het bericht. "The chain is under risk at latest commit right now. Make sure every node is patched. Then we will transfer the money back safely after confirming the fix."

Na die bevestiging stuurden de dagers 3,400 $BTC naar het adres van de Liquid Federation. De uitwisseling laat zien dat de terugbetaling afhing van de bereidheid van de dagers om de verzekering van Blockstream te accepteren dat de getroffen nodes veilig waren, al heeft geen van beide partijen een technisch rapport uitgebracht dat de fout identificeert of uitlegt hoe de opname mogelijk werd.

Na ontdekking van de transactie schakelde Liquid haar bridge-nodes uit en vroeg exchanges L-$BTC-stortingen en -opnames te schorsen. De stillegging beperkte verkeer tussen Liquid en de Bitcoin-basisslaag terwijl ontwikkelaars het incident onderzochten en de patch toepasten.

Volgens Reuters heeft Blockstream gezegd dat de sleutel die bij de opname werd gebruikt niet is gecompromitteerd. Het bedrijf heeft geen volledig post-mortem uitgebracht dat duidelijk maakt of de fout SideSwap, de bridge-software, de Elements-codebase van Liquid of een ander onderdeel van het peg-out-proces trof.

De affaire is de nieuwste in een lange reeks beveiligingsincidenten rond bridges. Cross-chain bridges staan herhaaldelijk bovenaan de lijst van grootste cryptoverliezen ooit — de inbreuk bij het Ronin Network in 2022 leverde circa $600 miljoen aan gestolen activa op en de Wormhole-bridge-exploit in hetzelfde jaar leidde tot verliezen van ongeveer $325 miljoen — wat het systematische risico weerspiegelt dat bewaar-, validatie- en berichtverwerkingslagen met zich meebrengen wanneer activa op de ene chain worden vergrendeld en op een andere worden vertegenwoordigd.

CTO van Ledger zet vraagtekens bij de white-hat-karakterisering

Charles Guillemet, Chief Technology Officer van Ledger, bekritiseerde de zelfomschrijving van de dagers nadat zij het grootste deel van de munten hadden teruggegeven maar bijna 600 $BTC hadden gehouden.

"So, 3,400 $BTC were refunded," schreef Guillemet op X. "The 'white hats' still hold 600 $BTC. If this was ever a negotiated reward under an encrypted contract signed on-chain, it looks more like extortion than white-hat hacking!"

Zijn commentaar richtte zich op het ontbreken van bekendgemaakte voorwaarden voor de achtergehouden Bitcoin. Een conventionele bug bounty legt beloning en teruggavevoorwaarden doorgaans vast voordat een onderzoeker deel van de getroffen fondsen houdt, en een vergelijkbare overeenkomst tussen Blockstream en de dagers is niet openbaar gemaakt.

Een soortgelijk kwestie diende zich na de Verus Ethereum-bridge-exploit in mei, toen de aanvaller 75% van de gestolen fondsen terugbetaalde en 1,350 ETH hield — destijds circa $2,8 miljoen waard — nadat Verus publiekelijk schikkingvoorwaarden had aangeboden. De terugbetaling bij Liquid verschilt daarvan doordat Blockstream niet heeft gesteld dat de resterende 598.5 $BTC een goedgekeurde bounty vormt.

Een white-hat-claim bepaalt op zichzelf niet de juridische status van een actor. Elke juridische beoordeling zou afhangen van factoren zoals autorisatie, de gebruikte methode om de activa te verkrijgen, de communicatie tussen de partijen en de toepasselijke wetgeving. Geen enkele Amerikaanse toezichthouder of opsporingsdienst heeft een actie aangekondigd die verband houdt met de Liquid-opname.

L-$BTC-houders wachten op details over dekking en opnames

Liquid is een gefedereerde Bitcoin-sidechain ontwikkeld door Blockstream. Gebruikers vergrendelen $BTC via het peg-systeem en ontvangen L-$BTC op de sidechain in een verhouding van één-op-één, waardoor snellere settlement en activa-overdrachten mogelijk zijn zonder dat elke transactie over de Bitcoin-basisslaag hoeft te lopen.

Een recente uitleg over bridge-beveiliging beschreef hoe systemen die activa op het ene netwerk vergrendelen en elders overeenkomstige tokens uitgeven, afhankelijk zijn van de beveiliging van hun bewaar-, validatie- en berichtverwerkingsystemen. Storingen op elk van die punten kunnen inwisselingen verstoren, zelfs wanneer de onderliggende blockchain normaal blijft functioneren.

Voor gebruikers in de VS is de directe kwestie operationeel eerder dan een wijziging van federale cryptoregels. Amerikaanse houders van L-$BTC worden net als andere gebruikers geconfronteerd met geschorste stortingen, opnames en peg-diensten, terwijl native $BTC dat direct op de Bitcoin-blockchain wordt vastgehouden losstaat van het sidechainsysteem van Liquid.

Liquid heeft niet bekendgemaakt of de teruggekeerde 3,400 $BTC de dekking voor de bijbehorende L-$BTC-voorraad volledig heeft hersteld, evenmin als hoe het netwerk een eventueel gat door de nog door de dagers beheerste 598.5 $BTC denkt op te vangen. Hoe de federatie met een eventueel tekort omgaat — via terugwinning van de resterende munten, andere reserves of een ander mechanisme — blijft voor houders een open vraag.

Er is geen heropeningstijd genoemd voor de bridge-nodes en exchanges werd nog gevraagd L-$BTC-stortingen en -opnames geschorst te houden. Blockstream heeft ook het beloofde technische verslag van de fout niet gepubliceerd, noch bevestigd of de dagers van plan zijn de resterende Bitcoin terug te geven.