Liquid Network poinformowała w niedzielę, że podający się za hakerów „białych kapeluszy” sprawcy wyprowadzili około 4000 bitcoinów o wartości około 320 milionów dolarów z portfela federacji zabezpieczającego L-BTC. Węzły mostu zostały wyłączone, a łańcuch boczny wstrzymany, natomiast inne wyemitowane aktywa — w tym USDT, DePix i RWA — pozostały nietknięte, poinformował oficjalny profil na X. Incydent ten jest jedną z największych znanych strat związanych z łańcuchem bocznym Bitcoina i na nowo kieruje uwagę na kompromisy bezpieczeństwa mostów federacyjnych, w których zaufanie pokłada się w konsorcjum funkcjonariuszy, a nie w publicznym mechanizmie dowodu rezerw egzekwowanym przez podstawową warstwę Bitcoina.

Liquid Network to sfederowany łańcuch boczny Bitcoina, założony przez Blockstream Adama Backa i uruchomiony w 2018 roku. Emituje on różnorodne aktywa, takie jak LBTC, zabezpieczone BTC w głównym łańcuchu Bitcoina, przechowywanymi w dużej multisigu 15 znanych członków korporacyjnych, w tym giełd i firm infrastrukturalnych. Jedenaścioro z 15 członków musi podpisać prawidłową transakcję wielopodpisową, aby przemieścić środki ze skarbca. Tether emituje również USDT na Liquid, dlatego inne aktywa sieci były w tym tygodniu powodem niepokoju posiadaczy. Przed atakiem skarbiec zawierał ponad 4200 BTC; po nim strona dowodu rezerw Blockstream wykazywała nieco ponad 207 BTC.

Hakerzy wyprowadzili 4019,4 BTC z adresu rezerwowego w transakcji peg-out przy użyciu SideSwap Peg-out Authorization Key, widocznej na mempool.space. SideSwap to giełda-most i członek Liquid Federation. Mechanizm ataku nie został potwierdzony, jednak wygląda na to, że sprawcy wykorzystali błąd inflacyjny w łańcuchu bocznym LBTC, aby stworzyć ponad 4000 LBTC, które wcześniej nie istniały, a następnie wymienili je na bitcoiny w łańcuchu głównym od federacji. Ponieważ transakcja wydawała się prawidłowa w świetle błędu konsensusu, serwery bezpieczeństwa HSM członków federacji podpisały transakcję wypłaty BTC o wartości około 320 milionów dolarów w tamtym momencie. Co istotne, sprzętowe urządzenia podpisujące działały zgodnie z projektem — podatność, jeśli zostanie potwierdzona, tkwiłaby w regułach konsensusu łańcucha bocznego, które uznały fałszywe LBTC za prawidłowe.

Haker przemieścił środki na adres kończący się na 6gyqjlte, z którego szybko podpisał nową transakcję z wiadomością w polu danych dowolnych OP_RETURN o treści „we are whitehats. contact us on chain.” W momencie pisania monety te nadal znajdowały się pod tym adresem.

Następnie do adresu hakera dotarła niewielka transakcja w sieci głównej z komunikatem OP_RETURN o treści „Please contact security@blockstream.com” — prawdopodobnie z publicznego adresu Blockstream, choć pozostaje to niepotwierdzone. Późniejsza transakcja OP_RETURN z adresu hakera zawierała „Please contact us on Signal @m671aw.70”; może to jednak być spam, ponieważ nie zawiera ona powiązania z adresem przechowującym skradzione środki.

W odpowiedzi na naruszenie giełdy otrzymały zalecenie wstrzymania wpłat i wypłat L-BTC. Węzły mostu w Liquid Network zostały wstrzymane, co ogranicza dostęp do łańcucha bocznego, który nadal produkuje bloki.

Dyrektor generalny JAN3, Samson Mow, powiedział na X, że funkcje Liquid w Aqua zostały dotknięte, a bitcoin w łańcuchu głównym nadal działał. Oczekuje się, że dotknięte zostaną także inne portfele w branży korzystające z Liquid Network. Posiadacze LBTC mają obecnie realnie zagrożone oszczędności, ponieważ bazowe BTC nie jest obecnie wymienialne.

Ze względu na prywatny charakter łańcucha Liquid dane analityczne dotyczące posiadanych środków są skąpe, a publicznych informacji o tym, ile LBTC trzymają użytkownicy indywidualni, a ile korporacje czy sam Blockstream, jest niewiele. Gdyby środki nie zostały zwrócone, byłby to ciężki cios dla bazy użytkowników Liquid Network i dla szerszego modelu sfederowanych łańcuchów bocznych, który opiera się na zaufaniu użytkowników, że rezerwy zabezpieczające są nienaruszone. Posiadacze LBTC mają niewiele opcji poza czekaniem na rezultat rozmów z hakerami. Biorąc pod uwagę skalę kradzieży, hakerom byłoby trudno — choć być może nie niemożliwie — uciec z całą tą kwotą bitcoinów, jako że skradzione środki znajdują się na publicznie obserwowalnym adresie, a każda próba przemieszczenia ich przez regulowane usługi przyciągnęłaby kontrolę. Jednym z możliwych rozwiązań jest, że hakerzy zażądają wynagrodzenia za znalezienie błędu i zwrócą większość środków.

Ten artykuł pierwotnie ukazał się w serwisie Bitcoin Magazine, a jego autorem jest Juan Galt.