Rețeaua Liquid a recuperat 3.400 BTC, în valoare de aproximativ 269,2 milioane de dolari, de la hackerii autodeclarați white-hat din spatele unei retrageri de 4.000 BTC, deși aproape 47 de milioane de dolari rămân nerambursate.
Datele on-chain arată că actorii au returnat 3.400 BTC, în valoare de aproximativ 268,2 milioane de dolari la momentul confirmării, către portofelul Federației Liquid în blocul Bitcoin 965.950. Transferul a recuperat aproximativ 85% din fondurile retrase, în timp ce 598,5 BTC, în valoare de aproximativ 47 de milioane de dolari, au rămas în adresa actorilor. Blockstream anunțase anterior grupul, printr-un mesaj de tranzacție semnat, că nodurile sale bridge fuseseră reparate și fondurile erau „sigure pentru a fi returnate.”
Aproximativ 598,5 BTC, evaluate la aproximativ 47 de milioane de dolari, au rămas în adresa asociată retragerii după transferul mai mare. Actorii nu au explicat public de ce au reținut monedele rămase și nici nu au declarat dacă va urma o altă rambursare.
Incidentul de duminică a început când un client a trimis 4.000 de Liquid Bitcoin, sau L-BTC, către serviciul de peg-out al SideSwap. SideSwap permite utilizatorilor să mute valoare din sidechain-ul Liquid înapoi la rețeaua Bitcoin printr-un proces de retragere autorizat.
Actorii s-au identificat ulterior ca „white-hats” într-un mesaj atașat unei tranzacții Bitcoin. Hackerii white-hat găsesc și raportează, în general, vulnerabilitățile de securitate, astfel încât dezvoltatorii să le poată repara, primind adesea o recompensă conform termenilor conveniți cu proiectul afectat.
Niciun acord public divulgat nu a stabilit însă că actorii Liquid au avut permisiunea de a retrage fondurile. De asemenea, Blockstream și actorii nu au publicat termeni care să acorde o recompensă sau să permită grupului să rețină aproape 600 BTC.
Așa cum a raportat crypto.news înainte de returnare, actorii se oferiseră să trimită înapoi „majoritatea” Bitcoinului odată ce Blockstream remedia vulnerabilitatea. La acel moment, nicio rambursare nu fusese confirmată, iar retragerea reprezenta aproximativ 95% din Bitcoinul deținut, conform rapoartelor, în portofelul federației Liquid.
Comunicarea dintre Blockstream și actori a avut loc prin mesaje atașate tranzacțiilor Bitcoin, permițând ambelor părți să schimbe instrucțiuni fără a se baza pe un serviciu de mesagerie privată.
Într-un mesaj de tranzacție, actorii au cerut Blockstream să repare vulnerabilitatea înainte de a returna Bitcoinul.
„Vă rugăm să remediați mai întâi eroarea,” spunea mesajul. „Lanțul este sub risc la cel mai recent commit în acest moment. Asigurați-vă că fiecare nod este patchuit. Apoi vom transfera banii înapoi în siguranță după confirmarea remedierii.”
În urma acestei confirmări, actorii au trimis 3.400 BTC către adresa Federației Liquid. Schimbul arată că rambursarea a depins de acceptarea de către actori a declarației Blockstream că nodurile afectate erau sigure, deși niciuna dintre părți nu a publicat un raport tehnic care să identifice vulnerabilitatea sau să explice cum a fost posibilă retragerea.
Liquid și-a dezactivat nodurile bridge după detectarea tranzacției și a cerut burselor să suspende depozitele și retragerile de L-BTC. Oprirea a restricționat mișcarea între Liquid și stratul de bază Bitcoin în timp ce dezvoltatorii au investigat incidentul și au aplicat patch-ul.
Blockstream a declarat că cheia folosită în timpul retragerii nu a fost compromisă, conform Reuters. Compania nu a publicat o analiză post-mortem completă care să detalieze dacă vulnerabilitatea a afectat SideSwap, software-ul bridge, codebase-ul Elements al Liquid sau o altă parte a procesului de peg-out.
Charles Guillemet, Chief Technology Officer la Ledger, a contestat descrierea actorilor despre ei înșiși după ce au returnat majoritatea monedelor, dar au reținut aproape 600 BTC.
„Deci, 3.400 BTC au fost rambursate,” a scris Guillemet pe X. „«White-hats-ii» încă dețin 600 BTC. Dacă aceasta ar fi fost o recompensă negociată în baza unui contract criptat semnat on-chain, ar arăta mai mult a extorcare decât a hacking white-hat!”
Comentariul său s-a concentrat pe lipsa termenilor divulgați care să acopere Bitcoinul reținut. O recompensă convențională pentru erori stabilește, de obicei, recompensa și condițiile de returnare înainte ca un cercetător să păstreze o parte din fondurile afectate, în timp ce niciun acord comparabil între Blockstream și actori nu a fost făcut public.
O problemă similară a apărut după exploatarea bridge-ului Verus Ethereum în luna mai. În acel caz, atacatorul a returnat 75% din fondurile furate și a păstrat 1.350 ETH, în valoare de aproximativ 2,8 milioane de dolari la acea vreme, după ce Verus a oferit public termeni de decontare. Rambursarea Liquid diferă deoarece Blockstream nu a declarat că restul de 598,5 BTC constituie o recompensă aprobată.
Afirmațiile de white-hat nu determină de la sine statutul legal al unui actor. O evaluare legală ar depinde de factori precum autorizarea, metoda utilizată pentru a obține activele, comunicările dintre părți și legile aplicabile. Niciun regulator sau agenție de aplicare a legii din SUA nu a anunțat o acțiune legată de retragerea Liquid.
Liquid este un sidechain Bitcoin federat dezvoltat de Blockstream. Utilizatorii blochează BTC prin sistemul său de peg și primesc L-BTC pe sidechain într-un raport unu la unu, permițând decontări și transferuri de active mai rapide fără a muta fiecare tranzacție pe stratul de bază Bitcoin.
Un explicativ recent privind securitatea bridge-urilor a descris cum sistemele care blochează active pe o rețea și emit token-uri corespondente în altă parte depind de securitatea sistemelor lor de custodie, validare și procesare a mesajelor. Eșecurile în oricare dintre aceste puncte pot întrerupe răscumpărările chiar și atunci când blockchain-ul subiacent continuă să funcționeze normal.
Pentru utilizatorii din SUA, problema imediată este operațională, mai degrabă decât o modificare a regulilor federale privind cripto. Deținătorii americani care utilizează L-BTC se confruntă cu aceleași servicii suspendate de depozite, retrageri și peg ca și alți utilizatori, în timp ce BTC nativ deținut direct pe blockchain-ul Bitcoin este separat de sistemul sidechain al Liquid.
Liquid nu a divulgat dacă cele 3.400 BTC returnate au restaurat pe deplin susținerea pentru oferta corespunzătoare de L-BTC. Rețeaua nu a declarat nici cum intenționează să gestioneze orice decalaj creat de cele 598,5 BTC încă controlate de actori.
Nu a fost specificat un timp de redeschidere pentru nodurile bridge, iar burselor li se cerea în continuare să mențină suspendate depozitele și retragerile de L-BTC. Blockstream nu a publicat nici raportul tehnic promis al vulnerabilității și nici nu a confirmat dacă actorii intenționează să returneze Bitcoinul rămas.
BTC