Jaringan Liquid telah melanjutkan produksi blok tanpa memproses transaksi setelah penarikan Bitcoin senilai $320 juta memaksa sidechain tersebut menghentikan operasinya.
Jaringan Liquid menyatakan dalam pembaruan hari Kamis bahwa node fungsionarisnya kembali memproduksi blok seperti yang direncanakan, tetapi jaringan akan beroperasi “tanpa transaksi” sementara pengembang memantau kondisinya.
Restart terbatas ini memungkinkan Liquid untuk menguji infrastruktur yang diperbarui tanpa membuka kembali transfer atau mengekspos sistem peg ke aktivitas baru. Menurut jaringan, menjaga transaksi tetap dinonaktifkan akan membantu operator “mengonfirmasi stabilisasi penuh” sebelum mereka memulihkan layanan lainnya.
Node fungsionaris dan jembatan telah menerima perubahan perangkat lunak yang diperlukan, tambah Liquid. Fungsionarisnya kini dapat menandatangani dan memvalidasi blok, meskipun pengguna belum dapat mengirim transaksi reguler atau memindahkan dana antara Bitcoin dan Liquid.
Operasi peg juga tetap ditangguhkan, termasuk penarikan yang disetujui melalui Kunci Otorisasi Peg-out, atau PAKs. Liquid mengatakan pembatasan akan tetap berlaku sementara ia berupaya memulihkan cadangan yang mendukung Bitcoin yang diterbitkan di sidechain sebagai L-BTC.
Produksi blok hanya merupakan satu bagian dari kembalinya layanan Liquid karena sistem transaksi dan jembatannya tetap tidak tersedia. Jaringan belum memberikan tanggal untuk membuka kembali salah satu fungsi tersebut.
Dalam kondisi normal, pengguna menyetor BTC ke peg yang dikendalikan federasi dan menerima jumlah L-BTC yang sama untuk digunakan di Liquid. Pemegang kemudian dapat membakar L-BTC melalui layanan peg-out yang disetujui untuk melepaskan Bitcoin yang sesuai di lapisan dasar.
Operator menghentikan proses tersebut setelah seorang aktor menciptakan L-BTC tanpa jaminan dengan mengeksploitasi cacat verifikasi bukti di Elements, perangkat lunak sumber terbuka di balik Liquid. Aktor tersebut kemudian mengirimkan token melalui layanan peg-out resmi SideSwap, mendorong federasi untuk melepaskan Bitcoin asli.
Seperti yang dilaporkan crypto.news sebelumnya, transaksi tersebut menarik sekitar 3.996 BTC dan mengurangi dompet federasi dari sekitar 4.205 BTC menjadi sekitar 202 BTC. Penarikan tersebut mewakili sekitar 95% dari Bitcoin yang disimpan dalam dompet pada saat itu.
Liquid menggambarkan para aktor tersebut sebagai “peretas white-hat yang diduga” setelah mereka mengidentifikasi diri sebagai white hat melalui pesan yang dilampirkan pada transaksi Bitcoin. Klaim mereka tidak membuktikan bahwa mereka memiliki izin untuk membuat L-BTC atau menarik Bitcoin yang mendasarinya.
SideSwap mengatakan seorang pelanggan telah mengirim 4.000 L-BTC ke layanan peg-outnya, yang memproses permintaan tersebut di bawah sistem normalnya. Liquid dan SideSwap mengatakan kunci yang digunakan untuk mengotorisasi transaksi belum disusupi.
Satu hari sebelum memulai kembali produksi blok, Liquid merilis pembaruan Elements darurat yang dirancang untuk mengatasi cacat yang terkait dengan penarikan tersebut.
Elements v23.3.4 mengubah kunci cache yang digunakan saat memvalidasi bukti rentang (range proofs), menurut Liquid. Bukti rentang memungkinkan jaringan untuk mengonfirmasi bahwa jumlah transaksi tersembunyi valid tanpa secara publik mengungkapkan jumlahnya, membentuk bagian dari sistem transaksi rahasia Liquid.
Perangkat lunak yang terpengaruh menyimpan hasil verifikasi bukti yang berhasil sehingga node dapat menggunakannya kembali daripada mengulang perhitungan penuh. Pelaporan sebelumnya menemukan bahwa cache tidak menyertakan konteks transaksi yang cukup, memungkinkan hasil bukti yang valid digunakan kembali di tempat yang seharusnya gagal.
Dengan mengeksploitasi kelemahan itu, aktor tersebut menciptakan L-BTC tanpa terlebih dahulu mengunci jumlah Bitcoin yang setara di dompet federasi. Node fungsionaris yang menjalankan kode yang terpengaruh menerima token tersebut, sementara proses peg-out SideSwap memperlakukannya sebagai L-BTC yang valid dan memproses penarikan.
Liquid mengatakan versi 23.3.4 memperkuat kunci cache yang terkait dengan bukti rentang. Node fungsionaris dan jembatan menerima pembaruan sebelum penandatanganan blok dimulai kembali, meskipun jaringan masih menahan transaksi sementara operator memeriksa penyebaran.
Federasi Liquid menggunakan node fungsionaris untuk mengonfirmasi blok sidechain dan mengendalikan Bitcoin yang dipegang di balik L-BTC. Sistem ini mengandalkan 15 fungsionaris yang bergilir dan membutuhkan 11 tanda tangan untuk memindahkan dana dari dompet multisignature-nya, menurut laporan teknis sebelumnya tentang insiden tersebut.
Tidak ada kunci penandatanganan federasi yang dilaporkan dicuri selama penarikan. Kegagalan justru melibatkan perangkat lunak yang digunakan untuk memutuskan apakah L-BTC yang diajukan untuk penebusan itu valid.
Komunikasi antara Blockstream dan para aktor berlangsung melalui pesan yang tertanam dalam transaksi Bitcoin. Dalam satu pesan, para aktor mengatakan mereka akan mengembalikan aset setelah node yang rentan telah diperbaiki.
“Tolong perbaiki bugnya dulu,” kata pesan itu. “Pastikan setiap node sudah ditambal. Kemudian kami akan mengembalikan uang dengan aman setelah mengonfirmasi perbaikannya.”
Blockstream kemudian mengirim pesan yang ditandatangani yang menyatakan bahwa node jembatannya telah ditambal dan Bitcoin “aman untuk dikembalikan.” Setelah konfirmasi itu, para aktor mentransfer 3.400 BTC kembali ke dompet federasi.
Pembayaran kembali 3.400 BTC memulihkan sekitar 85% dari dana yang ditarik. Pada saat transfer, Bitcoin yang dikembalikan bernilai sekitar $270 juta.
Sekitar 598,5 BTC tetap berada di alamat yang terkait dengan penarikan setelah pembayaran kembali. Saldo yang tersisa bernilai sekitar $46 juta berdasarkan harga Bitcoin yang dikutip dalam laporan yang disediakan, meskipun nilai dolarnya berubah seiring pasar.
Tidak ada kesepakatan publik yang mengidentifikasi sisa Bitcoin tersebut sebagai hadiah keamanan yang disetujui. Para aktor belum secara publik menyatakan apakah mereka berencana untuk mengembalikan sebagian lagi, sementara Blockstream belum mengumumkan persyaratan yang memungkinkan mereka untuk menyimpan saldo tersebut.
Chief Technology Officer Ledger, Charles Guillemet, mempertanyakan label white-hat setelah pembayaran parsial tersebut. Dalam sebuah postingan X, ia berpendapat bahwa mempertahankan sekitar 600 BTC tanpa persyaratan yang diungkapkan secara publik lebih terlihat seperti pemerasan daripada hadiah keamanan standar.
Liquid beroperasi sebagai sidechain Bitcoin terfederasi yang memungkinkan bursa, perusahaan perdagangan, dan pengguna lain untuk mentransfer aset terkait BTC dengan waktu penyelesaian yang lebih singkat daripada lapisan dasar Bitcoin. Blockstream meluncurkan jaringan produksi pada tahun 2018 menggunakan perangkat lunak Elements.
L-BTC bergantung pada Bitcoin yang disimpan di dompet federasi untuk menjaga dukungan satu-banding-satu. Sampai Liquid memulihkan operasi peg, pemegang tidak dapat menggunakan proses jembatan normal untuk menukarkan L-BTC dengan Bitcoin asli.
Penjelasan keamanan jembatan sebelumnya menggambarkan bagaimana sistem yang mengunci aset di satu rantai dan mengeluarkan token terkait di rantai lain bergantung pada kontrol kustodian, validasi, dan pemrosesan pesannya. Kegagalan di bagian mana pun dari proses itu dapat menangguhkan penebusan bahkan ketika blockchain dasar terus beroperasi.
Bagi pengguna AS, dampak saat ini terbatas pada akses dan operasi daripada perubahan kebijakan federal yang dinyatakan. Pemegang L-BTC Amerika menghadapi pembatasan transaksi dan peg yang sama dengan pengguna di tempat lain, sementara BTC yang disimpan langsung di lapisan dasar Bitcoin tetap terpisah dari sistem Liquid.
Tidak ada regulator atau lembaga penegak hukum AS yang mengumumkan tindakan yang terkait dengan penarikan tersebut. Liquid juga belum memberikan jadwal untuk memulihkan transaksi, peg-out yang diotorisasi PAK, atau operasi jembatan lainnya.
BTC