Liquid hakeri vratili 3.400 BTC, dok mreža ostaje pauzirana
Napadači koji su 6. septembra iz Liquid mreže izvukli gotovo 4.000 bitkoina vratili su 7. septembra 3.400 BTC na adresu Liquid Federation-a, dok je 598,5 BTC ostalo na adresi sa koje je transakcija potekla. Liquid je Bitcoin sidechain čiji token L-BTC treba da bude pokriven stvarnim bitcoinom, ali je mreža i dalje pauzirana i zamena L-BTC za BTC trenutno nije dostupna.
Povraćaj od 3.400 BTC potvrđen je u 16:09 UTC, odnosno 38 minuta nakon ranije transakcije sa šifrovanom PGP porukom. Pri ceni bitkoina od približno 78.000 dolara 8. septembra, vraćeni iznos vredeo je oko 265 miliona dolara, a nevratih 598,5 BTC oko 47 miliona dolara.
Greška u Elements softveru, a ne kompromitovan ključ
Blockstream, tehnološki pružalac za Liquid, saopštio je da je iz federation novčanika uzeto oko 4.000 BTC, što je tada procenjeno na približno 320 miliona dolara. Prema navodima The Block-a, povlačenje je obuhvatilo oko 95% prijavljenih Liquid rezervi od približno 4.200 BTC.
Bitcoin je oslobođen korišćenjem SideSwap Peg-out Authorization Key-a, jednog od ključeva koji odobravaju izlazak sredstava sa sidechain-a. Blockstream tvrdi da taj, kao ni drugi ključ, nije kompromitovan. SideSwap je naveo da je greška u Elements-u stvorila L-BTC iskorišćen u povlačenju i da ni njegovi sistemi ni ključ nisu bili ugroženi.
U normalnom peg-out postupku L-BTC se uništava na sidechain-u, a odgovarajuća količina BTC se oslobađa na glavnom Bitcoin lancu. Liquid i Blockstream nisu javno objavili tehnički opis propusta, pa za sada nije poznato kako je nastao L-BTC upotrebljen u ovoj transakciji.
Pregovori na blockchainu i neizvestan povratak rada
Grupa je porukom upisanom u transakciju navela da su white-hat istraživači i zatražila da se ranjivost otkloni i svi čvorovi zakrpe pre povraćaja sredstava. Blockstream je potpisanom porukom odgovorio da su bridge čvorovi zakrpljeni i da se sredstva mogu bezbedno vratiti.
Blockstream navodi da je ažurirani softver postavljen i da članovi federacije pripremaju koordinisano ponovno pokretanje. Statusna stranica je 8. septembra i dalje incident vodila kao aktivan, sa nedostupnim javnim bridge čvorovima, bez podatka o količini BTC koja sada pokriva L-BTC. USDT, DePix i druga sredstva izdata na Liquid-u, prema Blockstream-u, nisu pogođena.
Opis napadača kao white-hat grupe ipak nije opšteprihvaćen. Ledger CTO Charles Guillemet ocenio je da bi zadržavanje približno 600 BTC, ako predstavlja naknadu dogovorenu šifrovanim porukama, više ličilo na iznudu. Poslovni korisnici zato ne bi trebalo da šalju BTC na Liquid peg-in adrese dok se restart zvanično ne potvrdi, a procedure upravljanja sredstvima preko blockchain mostova treba vezati za proveru statusa mreže, rezervi i operativnih kontrola.