Мережа Liquid відновила 3 400 BTC на суму близько 269,2 мільйона доларів від самопроголошених хакерів-«білих капелюхів», які здійснили виведення 4 000 BTC, хоча майже 47 мільйонів доларів залишаються невиплаченими.
Дані в блокчейні показують, що учасники повернули 3 400 BTC, вартістю близько 268,2 мільйона доларів на момент підтвердження, на гаманець Федерації Liquid у блоці Bitcoin 965 950. Переказ відновив близько 85% виведених коштів, тоді як 598,5 BTC, вартістю приблизно 47 мільйонів доларів, залишилися на адресі учасників. Blockstream раніше повідомила групі через підписане повідомлення про транзакцію, що її вузли моста були виправлені, і кошти «безпечно повернути».
Приблизно 598,5 BTC, вартістю близько 47 мільйонів доларів, залишилися на адресі, пов'язаній з виведенням коштів, після більшого переказу. Учасники публічно не пояснили, чому вони утримали решту монет, або чи відбудеться інше повернення коштів.
Інцидент у неділю розпочався, коли клієнт відправив 4 000 Liquid Bitcoin, або L-BTC, на сервіс виведення з прив'язки (peg-out) SideSwap. SideSwap дозволяє користувачам переміщувати вартість із сайдчейну Liquid назад до мережі Bitcoin через авторизований процес виведення.
Згодом учасники ідентифікували себе як «білі хакери» у повідомленні, прикріпленому до транзакції Bitcoin. Хакери-«білі капелюхи» зазвичай знаходять та повідомляють про вразливості в системі безпеки, щоб розробники могли їх виправити, часто отримуючи винагороду відповідно до умов, узгоджених з проєктом, що постраждав.
Однак не було публічно розголошеної угоди, яка б підтверджувала, що учасники Liquid мали дозвіл на виведення коштів. Blockstream та учасники також не опублікували умови надання винагороди або дозволу групі утримати майже 600 BTC.
Як повідомляв crypto.news до повернення коштів, учасники запропонували повернути «більшість» біткоїнів, як тільки Blockstream усуне вразливість. На той момент жодне повернення не було підтверджено, а виведення коштів становило близько 95% біткоїнів, які, як повідомляється, зберігалися у федеративному гаманці Liquid.
Комунікація між Blockstream та учасниками відбувалася через повідомлення, прикріплені до транзакцій Bitcoin, що дозволяло обом сторонам обмінюватися інструкціями без використання приватного сервісу обміну повідомленнями.
В одному повідомленні про транзакцію учасники повідомили Blockstream, щоб вона виправила недолік, перш ніж вони повернуть біткоїни.
«Будь ласка, спочатку виправте помилку, — йшлося в повідомленні. — Мережа зараз під загрозою через останній коміт. Переконайтеся, що кожен вузол пропатчено. Тоді ми безпечно повернемо кошти після підтвердження виправлення».
Після цього підтвердження учасники відправили 3 400 BTC на адресу Федерації Liquid. Обмін показує, що повернення коштів залежало від прийняття учасниками заяви Blockstream про те, що уражені вузли були безпечними, хоча жодна зі сторін не опублікувала технічний звіт, що ідентифікує недолік або пояснює, як стало можливим виведення коштів.
Liquid відключила свої вузли моста після виявлення транзакції та попросила біржі призупинити депозити та виведення L-BTC. Це відключення обмежило рух між Liquid та базовим рівнем Bitcoin, поки розробники розслідували інцидент та застосовували патч.
Blockstream заявила, що ключ, використаний під час виведення коштів, не був скомпрометований, за повідомленням Reuters. Компанія не опублікувала повний післяінцедентний аналіз, який би деталізував, чи вплинув недолік на SideSwap, програмне забезпечення моста, кодову базу Elements Liquid або іншу частину процесу виведення з прив'язки (peg-out).
Технічний директор Ledger Чарльз Гіллеме оскаржив опис учасників як «білих хакерів» після того, як вони повернули більшість монет, але утримали майже 600 BTC.
«Отже, 3 400 BTC було відшкодовано, — написав Гіллеме на X. — «Білі хакери» все ще утримують 600 BTC. Якщо це була узгоджена винагорода за зашифрованим контрактом, підписаним в блокчейні, то це більше схоже на вимагання, ніж на хакерство «білих капелюхів»!»
Його коментар був зосереджений на відсутності розголошених умов щодо утриманих біткоїнів. Звичайна програма баунті за баги зазвичай встановлює умови винагороди та повернення коштів до того, як дослідник залишає собі частину постраждалих коштів, тоді як подібна угода між Blockstream та учасниками не була оприлюднена.
Подібна проблема виникла після експлойту моста Verus Ethereum у травні. У тому випадку зловмисник повернув 75% викрадених коштів і залишив собі 1 350 ETH, тоді вартістю близько 2,8 мільйона доларів, після того, як Verus публічно запропонувала умови врегулювання. Повернення коштів Liquid відрізняється тим, що Blockstream не заявила, що решта 598,5 BTC становить схвалену винагороду.
Заяви «білих хакерів» самі по собі також не визначають правовий статус учасника. Будь-яка правова оцінка залежатиме від таких факторів, як авторизація, метод, використаний для отримання активів, комунікації між сторонами та застосовні закони. Жоден регулятор або правоохоронний орган США не оголошував про дії, пов'язані з виведенням коштів Liquid.
Liquid – це федеративний сайдчейн Bitcoin, розроблений Blockstream. Користувачі блокують BTC через його систему прив'язки (peg system) та отримують L-BTC на сайдчейні у співвідношенні один до одного, що дозволяє швидші розрахунки та передачу активів без переміщення кожної транзакції через базовий рівень Bitcoin.
Нещодавнє пояснення безпеки моста описувало, як системи, які блокують активи в одній мережі та випускають відповідні токени в іншому місці, залежать від безпеки їхнього зберігання, валідації та систем обробки повідомлень. Збої в будь-якій з цих точок можуть переривати погашення, навіть коли базовий блокчейн продовжує нормально функціонувати.
Для користувачів із США безпосередньою проблемою є оперативне питання, а не зміна федеральних правил крипто. Американські власники, які використовують L-BTC, стикаються з тими ж призупиненими депозитами, виведенням коштів та послугами прив'язки (peg services), як і інші користувачі, тоді як нативний BTC, що зберігається безпосередньо в блокчейні Bitcoin, відокремлений від системи сайдчейну Liquid.
Liquid не розголосила, чи повністю відновлено забезпечення 3 400 BTC, що повернулися, для відповідної пропозиції L-BTC. Мережа також не повідомила, як вона планує впоратися з будь-яким розривом, створеним 598,5 BTC, які все ще контролюються учасниками.
Не було вказано час повторного відкриття вузлів моста, і біржам все ще пропонувалося тримати депозити та виведення L-BTC призупиненими. Blockstream також не опублікувала обіцяний технічний опис недоліку та не підтвердила, чи мають намір учасники повернути решту біткоїнів.
BTC