Sieć Liquid wstrzymała swój sidechain Bitcoin po tym, jak blisko 4 000 BTC — o wartości około 320 mln USD — opuściło portfel federacji w wyniku operacji peg-out przeprowadzonej przez SideSwap, zmniejszając rezerwę z około 4 200 BTC do około 200 BTC.

Incydent bezpieczeństwa rozegrał się 6 września i pozbawił około 95% Bitcoinów zabezpieczających L-BTC. Węzły mostka zostały następnie wyłączone, co uniemożliwia wprowadzanie nowych transakcji do sieci Liquid, natomiast giełdy otrzymały instrukcję zawieszenia wpłat i wypłat L-BTC.

Peg-out przez SideSwap uwolnił 3 996 BTC

Wypłata przeszła przez Peg-out Authorization Key (PAK) SideSwap, który jest upoważniony do żądania wykupu Bitcoinów z federacji Liquid. Klient wysłał około 4 000 L-BTC przez usługę peg-out SideSwap tuż po 14:05 UTC, a federacja uwolniła około 3 996 BTC w sieci Bitcoin o 14:28 UTC.

Klucz autoryzacyjny SideSwap nie został skompromitowany, ani też Liquid nie stwierdził skompromitowania pozostałych kluczy podpisujących federacji. Przedstawione do wykupu L-BTC pochodziły natomiast z prawdopodobnego błędu w Elements — otwartym oprogramowaniu stanowiącym podstawę Liquid. To rozróżnienie czyni incydent istotnie odmiennym od kradzieży klucza mostka lub przejęcia multisig: peg-out przebiegł autoryzowaną ścieżką, ale L-BTC wchodzące do tego procesu nie powinny istnieć bez odpowiedniego pokrycia w Bitcoinach. Analiza techniczna dokładnej podatności w Elements nie została jeszcze opublikowana.

Elements to otwarta baza kodu, na której zbudowano Liquid; ponieważ jest rozwijana publicznie, każda potwierdzona podatność może mieć znaczenie również dla innych projektów opartych na tym samym oprogramowaniu — dlatego oczekiwana analiza powypadkowa zwróci prawdopodobnie szeroką uwagę również poza samym Liquid.

Bitcoiny trafiają na adres podający się za „białe kapelusze”

Wyprowadzone środki zostały skonsolidowane na adresie Bitcoin zawierającym około 3 998 BTC. Transakcja w łańcuchu zawierała wiadomość: „we are whitehats. contact us on chain.” (jesteśmy białymi kapeluszami, skontaktujcie się z nami poprzez łańcuch). Blockstream odpowiedział przez Bitcoin, przekazując dane kontaktowe swojego zespołu bezpieczeństwa, gdy rozpoczęły się starania o nawiązanie komunikacji z kontrolującymi adres.

Charakterystyka „białego kapelusza” pozostaje niezweryfikowana. CTO Ledgera Charles Guillemet zakwestionował to podejście, argumentując, że wyprowadzenie niemal całej rezerwy mostka przed podjęciem próby kontaktu wykracza poza konwencjonalne praktyki odpowiedzialnego ujawniania błędów. We wczesnych godzinach 7 września Bitcoiny pozostawały skoncentrowane na zidentyfikowanym adresie, zamiast przemieszczać się przez giełdy, mikserów lub usługi międzyłańcuchowe.

Recentni atakujący po zdobyciu Bitcoinów wybierali zupełnie inne ścieżki. Środki z ataku Coldcard Wave 3 zaczęły ubiegłego tygodnia przepływać przez THORChain, wymieniane z BTC na ETH, podczas gdy śledczy śledzili nowe adresy docelowe. Czy środki w tym przypadku pozostaną na miejscu — warunek konieczny jakiegokolwiek wynegocjowanego zwrotu — to najbliższe pytanie dla obserwatorów śledzących ten adres.

Liquid pozostaje wstrzymana podczas badania błędu w Elements

Liquid, rozwijana przez Blockstream i uruchomiona w 2018 roku, reprezentuje BTC zablokowane w sieci Bitcoin jako L-BTC na swoim sidechainie, a członkowie federacji obsługują infrastrukturę zabezpieczającą operacje peg-in i peg-out. USDT, DePix i inne aktywa wyemitowane na Liquid nie zostały bezpośrednio dotknięte nieautoryzowanym utworzeniem L-BTC, choć wstrzymanie sieci uniemożliwia normalne przetwarzanie transakcji — posiadacze tych aktywów nie mogą dokonywać transakcji do czasu wznowienia działania sieci.

Incydent różni się także od konwencjonalnych wycieków z mostków, takich jak exploit AFX Trade na 24,15 mln USD, w którym podpisy walidatorów autoryzowały nieautoryzowaną wypłatę USDC z rezerw mostka.

Według stanu na wczesne godziny 7 września węzły mostka Liquid pozostawały wyłączone, giełdy utrzymywały zawieszenie wpłat i wypłat L-BTC, a około 3 998 BTC pozostawało na adresie Bitcoin powiązanym z wypłatą. Kluczowymi otwartymi kwestiami pozostają: czy kontrolujący adres odpowiedzą na działania Blockstream, publikacja analizy technicznej błędu w Elements oraz harmonogram odtworzenia rezerwy zabezpieczającej L-BTC, zanim sieć będzie mogła bezpiecznie wznowić działanie.

Źródło: Crypto Adventure