Liquid Network odzyskał większość bitcoinów wycofanych w wyniku poważnego eksploitu, jednak blisko 600 BTC pozostaje w rękach podmiotów, które przeprowadziły atak.

7 września samozwańczy hakerzy white-hat zwrócili 3400 BTC do portfela Liquid Federation. W momencie transakcji odzyskane monety były warte około 268 milionów dolarów. Zwrot przywrócił około 85% bitcoinów zabranych z sieci.

Napastnicy zatrzymali około 598,5 BTC o wartości około 47 milionów dolarów. Żadne publiczne porozumienie nie potwierdza, że kwota ta stanowi formalną nagrodę za znalezienie błędu, choć zatrzymane środki faktycznie stały się nieoficjalnym wynagrodzeniem.

Odzyskanie środków nastąpiło po nietypowych negocjacjach prowadzonych wyłącznie za pomocą transakcji bitcoinowych. Napastnicy wcześniej oświadczyli, że zwrócą większość środków po tym, jak Blockstream załatuje lukę wpływającą na infrastrukturę Liquid.

Liquid to bitcoinowy sidechain rozwijany i utrzymywany przez Blockstream, zarządzany przez federację organizacji członkowskich, a nie przez górników, jak w przypadku podstawowego łańcucha Bitcoina. Sieć emituje L-BTC — aktywo powiązane z bitcoinem w relacji jeden do jednego — używane przez traderów i giełdy do szybszego rozliczania transakcji niż zwykle pozwala główny łańcuch Bitcoina. Taka konstrukcja federacyjna oznacza, że bezpieczeństwo pegu — mechanizmu wymieniającego bitcoiny na L-BTC i z powrotem — ma kluczowe znaczenie dla działania sieci.

Jak działał eksploit Liquid

Incydent rozpoczął się, gdy około 4000 BTC opuściło portfel federacyjny Liquid w wyniku transakcji peg-out. Liquid oświadczył, że naruszenie nie wiązało się ze skompromitowaniem kluczy prywatnych.

Luka pojawiła się natomiast w związku z Elements, oprogramowaniem open source stanowiącym podstawę Liquid. Wada miała pozwalać napastnikom na wybijanie L-BTC bez wystarczającego pokrycia w bitcoinach, które następnie mogli wykorzystać do wyprowadzenia prawdziwych bitcoinów z rezerw Liquid.

Incydent nie wydawał się również naruszać infrastruktury SideSwap. Liquid wstrzymał jednak zarówno operacje peg-in, jak i peg-out podczas badania luki przez operatorów.

Mosty międzyłańcuchowe i sidechainowe historycznie należą do najczęściej atakowanych elementów infrastruktury kryptowalutowej. Duże exploity mostów w latach ubiegłych — takie jak incydenty Ronin Network i Wormhole z 2022 roku — przyniosły straty rzędu kilkuset milionów dolarów każdy, a większość tych środków nigdy nie została zwrócona. Rezultat w przypadku Liquid, w którym odzyskano większość skradzionych bitcoinów, jest stosunkowo rzadki przy atakach tej skali.

Trudny restart przed Liquid

Blockstream od tego czasu załatał dotknięte węzły mostu, co umożliwiło napastnikom zwrot większości środków. Niemniej Liquid nie przywrócił natychmiast normalnego działania.

Pozostałe 598,5 BTC rodzi również pytania o to, czy napastnicy działali jako legalni badacze white-hat, czy po prostu wynegocjowali własne wynagrodzenie po wykorzystaniu luki. Formalne programy bug bounty w branży kryptowalut zazwyczaj wypłacają badaczom znacznie mniejsze kwoty za odpowiedzialnie ujawnione podatności, a nagradzanie napastników, którzy najpierw wydobywają środki, może tworzyć zachęty, przed którymi badacze bezpieczeństwa ostrzegają od dawna.

Liquid stoi teraz przed wyzwaniem ponownego uruchomienia swojego mostu bitcoinowego przy jednoczesnym zapewnieniu, że problem autoryzacji nie zostanie ponownie wykorzystany. Użytkownicy i giełdy posiadające L-BTC będą czekać na pełne wznowienie operacji peg-in i peg-out oraz na raport techniczny po incydencie opisujący załatana lukę. Odzyskanie środków znacząco ogranicza straty finansowe, ale incydent podkreśla ryzyko związane z podatnościami w systemach odpowiedzialnych za zabezpieczanie dużych ilości bitcoinów.