Liquid Federation объявила, что резервы биткоина в Liquid Network полностью восстановлены, и обеспечение LBTC — токена, представляющего биткоин на сайдчейне Blockstream, — снова составляет 1:1. Восстановление произошло спустя почти два месяца после сентябрьской атаки, в ходе которой было выведено примерно 320 млн долларов в BTC и образовался разрыв в резерве сети. По имеющимся данным, недостающие монеты предоставил Blockstream.

Blockstream закрыл разрыв в резерве

В объявлении, опубликованном в X во вторник, 3 ноября, Liquid Federation сообщила, что она «с удовольствием объявляет, что резервы биткоина сети полностью восстановлены, что возвращает обеспечение 1:1 BTC для всех LBTC».

Генеральный директор Blockstream Адам Бэк поделился скриншотом панели мониторинга, показывающей, что активы Liquid Network соответствуют обязательствам на 100%. На скриншоте также видно, что дефицит резерва теперь составляет 0,00 BTC.

Когда у Сэмпсона Моу, члена совета Liquid Federation и бывшего топ-менеджера Blockstream, спросили об источнике средств, он ответил: «Как говорилось много раз, Blockstream».

Моу публично отслеживал поступление депозитов. Согласно его обновлениям, 50 BTC поступили в кошелёк федерации 28 октября, и оставался дефицит в 550 BTC. Ещё 300 BTC были добавлены в кошелёк в понедельник, а затем, позже в тот же день, — ещё 250 BTC, что завершило восстановление привязки.

Эти депозиты также замыкают арифметику атаки: из примерно 4000 выпущенных в сентябре LBTC без обеспечения 3400 BTC вернулись на следующий день, и около 600 токенов оставались невозвращёнными — тот же разрыв, который теперь закрыт 600 BTC, поступление которых отслеживал Моу. Недостача была не просто бухгалтерской записью: LBTC без обеспечения можно провести через сервисы вывода средств, чтобы получить реальные биткоины, что злоумышленник и продемонстрировал через SideSwap, поэтому до пополнения каждый невозвращённый необеспеченный токен представлял требование, которое резерв не мог покрыть.

Прямой обмен между биткоином и LBTC через участвующих провайдеров возобновился ещё за несколько недель до этого. Однако федерация не сообщила, сняты ли теперь все оставшиеся ограничения на вывод средств, и, помимо депозитов Blockstream, не раскрыла, как именно был полностью закрыт разрыв в резерве.

Как злоумышленники выпустили LBTC без обеспечения

6 сентября хакеры, называющие себя white-hat, использовали уязвимость в операции buy-in в Elements — открытом ПО, на котором работает Liquid; этот инцидент позже был описан в оценке инцидента безопасности Liquid Network. Уязвимость находилась в кэше, хранившем результаты ресурсоёмких проверок rangeproof. Поскольку ключ кэша не включал asset commitment и scriptPubKey, узел мог повторно использовать ранее проверенное доказательство в контексте, где оно было недействительным.

Эта слабость позволила злоумышленнику выпустить около 4000 LBTC без обеспечения и провести их через сервис вывода средств SideSwap, чтобы получить реальные биткоины. Приватные ключи в ходе атаки украдены не были благодаря мультиподписи федерации 11 из 15 и ключам авторизации SideSwap, которые сработали так, как были задуманы.

На следующий день злоумышленник вернул 3400 BTC, но оставил себе около 598 BTC, стоимость которых на тот момент составляла около 47 млн долларов. Затем злоумышленник потребовал вознаграждение за обнаруженную уязвимость в размере 10% в обмен на оставшиеся монеты. Blockstream отклонил это предложение, заявив, что не будет «платить выкуп, который значительно превышает их экономическую заинтересованность». Через несколько дней, 9 сентября, Blockstream выпустил обновлённую версию Elements v23.3.4 с усиленной защитой.

Могут ли исправления предотвратить будущие атаки?

Когда под своим первоначальным постом в X его спросили, что помешает повторению подобной атаки, Бэк сказал, что были усилены три линии обороны. Он написал, что ключи авторизации вывода средств (PAK) были обновлены и перенесены на холодные аппаратные кошельки. Кэши проверки доказательств, как он отметил, отключены, а уязвимость исправлена на узлах. Третьим исправлением, по словам Бэка, стали усиленные правила консенсуса, которые «при сбое блокируют операции». Он добавил, что системы прошли несколько независимых аудитов.

Предупреждение об исправлениях, предложенных ИИ

Бэк также сказал, что один из уроков, извлечённых из инцидента, — относиться с подозрением к каждому предложению ИИ, заявив: «не доверяй — проверяй».

Его предупреждение не появилось на пустом месте. Независимый анализ показал, что сентябрьский злоумышленник провёл обратную разработку уязвимости на основе публичного заголовка коммита на GitHub ещё до того, как любой рабочий узел был обновлён. По данным Google Threat Intelligence Group (GTIG), злоумышленники использовали 141 уязвимость с января по август 2026 года — на 14 инцидентов больше, чем 127 случаев, зафиксированных за весь 2025 год. Было отмечено, что инструменты ИИ сокращают разрыв между раскрытием информации об уязвимости и появлением рабочего эксплойта.

Liquid Federation сообщила, что также готовит изменения в управлении и надзоре, пообещав подробности в ближайшие недели.

Источник: Cryptopolitan