Nabawi ng Liquid Network ang 3,400 BTC na nagkakahalaga ng humigit-kumulang $269.2 milyon mula sa mga white-hat hacker na nagsabing sila ang nasa likod ng 4,000 BTC na pagwi-withdraw, bagaman halos $47 milyon pa ang natitira.

Nabawi ng Liquid Network ang 85% ng na-withdraw na Bitcoin

Ipinapakita ng on-chain data na ibinalik ng mga aktor ang 3,400 BTC, na nagkakahalaga ng humigit-kumulang $268.2 milyon nang kumpirmahin, sa Liquid Federation wallet sa Bitcoin block 965,950. Nabawi ng transfer ang humigit-kumulang 85% ng mga pondo na na-withdraw, habang 598.5 BTC na nagkakahalaga ng humigit-kumulang $47 milyon ang nanatili sa address ng mga aktor. Nauna nang sinabi ng Blockstream sa grupo sa pamamagitan ng isang mensahe ng transaksyon na nilagdaan na ang kanilang mga bridge node ay naayos na at ang mga pondo ay "ligtas na ibalik."

Humigit-kumulang 598.5 BTC, na tinatayang nagkakahalaga ng $47 milyon, ang nanatili sa address na may kaugnayan sa pagwi-withdraw matapos ang mas malaking transfer. Hindi pa pampublikong ipinapaliwanag ng mga aktor kung bakit nila pinanatili ang natitirang mga barya o sinabi kung may susunod pang pagbabayad.

Nagsimula ang insidente noong Linggo nang magpadala ang isang customer ng 4,000 Liquid Bitcoin, o L-BTC, sa serbisyo ng peg-out ng SideSwap. Pinapayagan ng SideSwap ang mga user na ilipat ang halaga mula sa Liquid sidechain pabalik sa Bitcoin network sa pamamagitan ng isang awtorisadong proseso ng pagwi-withdraw.

Kinalaunan ay tinukoy ng mga aktor ang kanilang sarili bilang "whitehats" sa isang mensahe na kalakip sa isang Bitcoin transaction. Ang mga white-hat hacker ay karaniwang nakakahanap at nag-uulat ng mga kahinaan sa seguridad upang maayos ito ng mga developer, kadalasang tumatanggap ng bounty sa ilalim ng mga tuntunin na napagkasunduan sa apektadong proyekto.

Gayunpaman, walang pampublikong inilabas na kasunduan na nagtatakda na ang mga aktor ng Liquid ay may pahintulot na i-withdraw ang mga pondo. Hindi rin inilathala ng Blockstream at ng mga aktor ang mga tuntunin na nagbibigay ng bounty o nagpapahintulot sa grupo na panatilihin ang halos 600 BTC.

Tulad ng iniulat ng crypto.news bago ang pagbabalik, nag-alok ang mga aktor na ibalik ang "karamihan" ng Bitcoin kapag naayos na ng Blockstream ang kahinaan. Sa puntong iyon, walang kumpirmadong pagbabayad, at ang pagwi-withdraw ay kumakatawan sa humigit-kumulang 95% ng Bitcoin na iniulat na hawak sa federation wallet ng Liquid.

Ang mga on-chain na mensahe ang nagtulak sa 3,400 BTC na pagbabayad

Ang komunikasyon sa pagitan ng Blockstream at ng mga aktor ay naganap sa pamamagitan ng mga mensahe na kalakip sa mga Bitcoin transaction, na nagpapahintulot sa magkabilang panig na magpalitan ng mga tagubilin nang hindi umaasa sa isang pribadong serbisyo ng pagmemensahe.

Sa isang mensahe ng transaksyon, sinabi ng mga aktor sa Blockstream na ayusin ang depekto bago nila ibalik ang Bitcoin.

"Pakiaayos muna ang bug," sabi ng mensahe. "Ang chain ay nasa panganib sa huling commit ngayon. Siguraduhin na bawat node ay naayos. Pagkatapos ay ibabalik namin ang pera nang ligtas pagkatapos kumpirmahin ang pag-aayos."

Kasunod ng kumpirmasyong iyon, nagpadala ang mga aktor ng 3,400 BTC sa Liquid Federation address. Ipinapakita ng palitan na ang pagbabayad ay nakasalalay sa pagtanggap ng mga aktor sa pahayag ng Blockstream na ligtas ang mga apektadong node, bagaman wala pa ring inilalabas ang magkabilang panig na teknikal na ulat na nagtutukoy sa depekto o nagpapaliwanag kung paano naging posible ang pagwi-withdraw.

Hindi pinagana ng Liquid ang kanilang mga bridge node matapos matukoy ang transaksyon at hiniling sa mga exchange na suspindihin ang L-BTC deposits at withdrawals. Ang pagsasara ay naghigpit sa paggalaw sa pagitan ng Liquid at ng Bitcoin base layer habang iniimbestigahan ng mga developer ang insidente at inilapat ang patch.

Sinabi ng Blockstream na ang key na ginamit sa pagwi-withdraw ay hindi nakompromiso, ayon sa Reuters. Hindi pa naglalabas ang kumpanya ng kumpletong post-mortem na nagdedetalye kung ang depekto ay nakaapekto sa SideSwap, sa bridge software, sa Elements codebase ng Liquid, o sa iba pang bahagi ng proseso ng peg-out.

Kinukuwestiyon ng Ledger CTO ang deskripsyon ng white-hat

Kinukuwestiyon ni Charles Guillemet, Chief Technology Officer ng Ledger, ang paglalarawan ng mga aktor sa kanilang sarili matapos nilang ibalik ang karamihan ng mga barya ngunit pinanatili ang halos 600 BTC.

"Kaya, 3,400 BTC ang ibinalik," isinulat ni Guillemet sa X. "Ang mga 'white hats' ay nagtatago pa rin ng 600 BTC. Kung ito man ay isang negotiated reward sa ilalim ng isang encrypted contract na nilagdaan on-chain, mukha itong pangingikil kaysa sa white-hat hacking!"

Ang kanyang komento ay nakatuon sa kakulangan ng isiniwalat na mga tuntunin na sumasaklaw sa pinanatiling Bitcoin. Ang isang kumbensyonal na bug bounty ay karaniwang nagtatakda ng gantimpala at mga kundisyon sa pagbabalik bago panatilihin ng isang mananaliksik ang bahagi ng mga apektadong pondo, habang walang maihahambing na kasunduan sa pagitan ng Blockstream at ng mga aktor ang isinapubliko.

Isang katulad na isyu ang lumitaw matapos ang Verus Ethereum bridge exploit noong Mayo. Sa kasong iyon, ibinalik ng attacker ang 75% ng ninakaw na pondo at pinanatili ang 1,350 ETH, na noon ay nagkakahalaga ng humigit-kumulang $2.8 milyon, matapos pampublikong nag-alok ang Verus ng mga tuntunin sa pag-aayos. Iba ang pagbabayad ng Liquid dahil hindi sinabi ng Blockstream na ang natitirang 598.5 BTC ay bumubuo ng isang aprubadong bounty.

Ang mga claim ng white-hat ay hindi rin nagtatakda ng legal na katayuan ng isang aktor. Ang anumang legal na pagtatasa ay nakasalalay sa mga salik tulad ng pahintulot, ang paraan na ginamit upang makuha ang mga asset, mga komunikasyon sa pagitan ng mga partido, at mga angkop na batas. Walang regulator ng U.S. o ahensya ng pagpapatupad ng batas ang nag-anunsyo ng aksyon na may kaugnayan sa pagwi-withdraw ng Liquid.

Hinihintay ng mga may hawak ng L-BTC ang mga detalye sa pag-back at mga pagwi-withdraw

Ang Liquid ay isang federated na Bitcoin sidechain na binuo ng Blockstream. Ang mga user ay nagla-lock ng BTC sa pamamagitan ng sistema ng peg nito at tumatanggap ng L-BTC sa sidechain sa isang one-to-one na ratio, na nagpapahintulot ng mas mabilis na pag-aayos at paglilipat ng asset nang hindi inililipat ang bawat transaksyon sa buong Bitcoin base layer.

Ang isang kamakailang paliwanag sa seguridad ng bridge ay naglarawan kung paano umaasa ang mga sistema na nagla-lock ng mga asset sa isang network at naglalabas ng mga kaukulang token sa ibang lugar sa seguridad ng kanilang mga sistema ng kustodiya, balidasyon, at pagproseso ng mensahe. Ang mga pagkabigo sa alinman sa mga puntong iyon ay maaaring makagambala sa mga redemption kahit na patuloy na gumagana nang normal ang pinagbabatayang blockchain.

Para sa mga gumagamit na nakabase sa U.S., ang agarang isyu ay operasyonal sa halip na pagbabago sa mga pederal na panuntunan sa crypto. Ang mga may hawak na Amerikano na gumagamit ng L-BTC ay nahaharap sa parehong sinuspindeng deposito, pagwi-withdraw, at mga serbisyo ng peg tulad ng iba pang mga gumagamit, habang ang native na BTC na direktang hawak sa Bitcoin blockchain ay hiwalay sa sistema ng sidechain ng Liquid.

Hindi pa isinisiwalat ng Liquid kung ang ibinalik na 3,400 BTC ay ganap nang naibalik ang pag-back para sa kaukulang supply ng L-BTC. Hindi rin sinabi ng network kung paano nito planong hawakan ang anumang puwang na nilikha ng 598.5 BTC na kontrolado pa rin ng mga aktor.

Walang ibinigay na oras ng muling pagbubukas para sa mga bridge node, at patuloy pa ring hinihiling sa mga exchange na panatilihing nakasuspinde ang mga L-BTC deposit at withdrawal. Hindi rin inilathala ng Blockstream ang ipinangakong teknikal na paliwanag ng depekto o kinumpirma kung nilalayon ng mga aktor na ibalik ang natitirang Bitcoin.