Liquid получила обратно 3 400 BTC после инцидента с Elements
Liquid Network получила обратно 3 400 BTC из почти 4 000 биткоинов, выведенных из кошелька федерации 6 сентября. Возврат был подтверждён 7 сентября в 16:09 UTC, однако 598,5 BTC остались на адресе, откуда пришли средства. По курсу около $78 000 за BTC на 8 сентября эта сумма оценивалась примерно в $47 млн.
Liquid — сайдчейн Bitcoin, в котором токен L-BTC обеспечивается биткоинами в основной сети. На момент публикации сеть оставалась на паузе: владельцы L-BTC не могли обменять токены на BTC. Публичные bridge-узлы также были отключены, а статус инцидента у Blockstream оставался активным.
Как произошёл вывод средств
Blockstream, поставляющая технологии для Liquid, заявила, что группа, называющая себя белыми хакерами, вывела около 4 000 BTC из кошелька федерации. До инцидента резервы Liquid составляли около 4 200 BTC, поэтому вывод затронул приблизительно 95% заявленного обеспечения.
Средства были выведены через Peg-out Authorization Key сервиса SideSwap — один из ключей, используемых для выпуска биткоинов из сайдчейна. Blockstream подчеркнула, что этот ключ и другие ключи не были скомпрометированы. SideSwap, в свою очередь, сообщила, что причиной стала ошибка в Elements — программном обеспечении, на котором работает Liquid. По её версии, баг позволил создать L-BTC, использованные при выводе; системы SideSwap и её ключ также не были взломаны.
Возврат и остающиеся вопросы
Общение сторон происходило через сообщения, записанные в транзакциях Bitcoin. Сначала группа заявила, что является white hat, и попросила связаться с ней в блокчейне. Затем она потребовала устранить дефект и обновить все узлы до возврата денег. Blockstream направила подписанное сообщение о том, что bridge-узлы исправлены и средства можно вернуть.
Перед основным возвратом на адрес федерации поступили 1 000 сатоши вместе с зашифрованным PGP-сообщением, содержание которого не раскрывалось. Через 38 минут была подтверждена транзакция на 3 400 BTC. Оставшиеся 598,5 BTC являются сдачей из той же транзакции, а не отдельным переводом. Blockstream и Liquid публично не объяснили, связано ли их удержание с каким-либо соглашением.
Что это означает для пользователей и компаний
Blockstream сообщила о развёртывании обновлённого ПО и подготовке согласованного перезапуска федерации. Пользователям рекомендовали не отправлять BTC на адреса peg-in до официального подтверждения запуска. Другие активы, выпущенные на Liquid, включая USDT и DePix, Blockstream назвала незатронутыми.
Для компаний, использующих мосты и обеспеченные токены, инцидент показывает важность контроля не только ключей, но и логики выпуска активов. До восстановления работы Liquid стоит учитывать, что часть резерва не возвращена, а обмен L-BTC на базовый актив временно недоступен.