Liquid Network đã thu hồi 3.400 BTC trị giá khoảng 269,2 triệu USD từ nhóm tin tặc tự xưng là "mũ trắng" đứng sau giao dịch rút 4.000 BTC, mặc dù gần 47 triệu USD vẫn chưa được trả lại.
Dữ liệu on-chain cho thấy các tác nhân đã trả lại 3.400 BTC, trị giá khoảng 268,2 triệu USD tại thời điểm xác nhận, về ví Liên minh Liquid trong khối Bitcoin 965.950. Giao dịch này đã thu hồi khoảng 85% số tiền bị rút, trong khi 598,5 BTC trị giá khoảng 47 triệu USD vẫn còn trong địa chỉ của các tác nhân. Blockstream trước đó đã thông báo cho nhóm thông qua một tin nhắn giao dịch đã ký rằng các node cầu nối của họ đã được vá lỗi và số tiền "an toàn để trả lại."
Khoảng 598,5 BTC, trị giá khoảng 47 triệu USD, vẫn còn trong địa chỉ liên quan đến giao dịch rút sau khi hoàn trả một phần lớn. Các tác nhân chưa công khai giải thích lý do tại sao họ giữ lại số tiền còn lại hoặc tuyên bố liệu sẽ có thêm đợt hoàn trả nào nữa hay không.
Sự cố vào Chủ Nhật bắt đầu khi một khách hàng gửi 4.000 Liquid Bitcoin, hay L-BTC, đến dịch vụ peg-out của SideSwap. SideSwap cho phép người dùng chuyển giá trị từ sidechain Liquid trở lại mạng Bitcoin thông qua một quy trình rút tiền được ủy quyền.
Các tác nhân sau đó tự nhận mình là "whitehats" trong một tin nhắn đính kèm với giao dịch Bitcoin. Tin tặc mũ trắng thường tìm và báo cáo các lỗ hổng bảo mật để nhà phát triển có thể sửa chữa chúng, thường nhận được tiền thưởng theo các điều khoản đã thỏa thuận với dự án bị ảnh hưởng.
Tuy nhiên, không có thỏa thuận công khai nào xác nhận rằng các tác nhân của Liquid đã được phép rút tiền. Blockstream và các tác nhân cũng chưa công bố các điều khoản cấp tiền thưởng hoặc cho phép nhóm giữ lại gần 600 BTC.
Như crypto.news đã đưa tin trước khi hoàn trả, các tác nhân đã đề nghị gửi lại "hầu hết" số Bitcoin một khi Blockstream đã sửa chữa lỗ hổng. Tại thời điểm đó, chưa có khoản hoàn trả nào được xác nhận, và số tiền rút ra chiếm khoảng 95% số Bitcoin được cho là đang được giữ trong ví liên minh của Liquid.
Giao tiếp giữa Blockstream và các tác nhân diễn ra thông qua các tin nhắn đính kèm với các giao dịch Bitcoin, cho phép hai bên trao đổi hướng dẫn mà không cần dựa vào dịch vụ nhắn tin riêng tư.
Trong một tin nhắn giao dịch, các tác nhân đã yêu cầu Blockstream sửa chữa lỗ hổng trước khi họ trả lại Bitcoin.
Tin nhắn có nội dung: "Làm ơn sửa lỗi trước. Chuỗi đang gặp rủi ro ở bản commit mới nhất. Đảm bảo mọi node đều đã được vá. Sau đó chúng tôi sẽ chuyển tiền về an toàn sau khi xác nhận bản vá."
Sau xác nhận đó, các tác nhân đã gửi 3.400 BTC đến địa chỉ Liên minh Liquid. Cuộc trao đổi cho thấy việc hoàn trả phụ thuộc vào việc các tác nhân chấp nhận tuyên bố của Blockstream rằng các node bị ảnh hưởng đã an toàn, mặc dù cả hai bên đều chưa công bố báo cáo kỹ thuật xác định lỗ hổng hoặc giải thích cách thức giao dịch rút tiền này trở nên khả thi.
Liquid đã vô hiệu hóa các node cầu nối của mình sau khi phát hiện giao dịch và yêu cầu các sàn giao dịch tạm ngừng nạp và rút L-BTC. Việc tạm ngừng này đã hạn chế sự di chuyển giữa Liquid và lớp cơ sở Bitcoin trong khi các nhà phát triển điều tra sự cố và áp dụng bản vá.
Blockstream cho biết khóa được sử dụng trong giao dịch rút tiền không bị xâm phạm, theo Reuters. Công ty chưa công bố báo cáo phân tích sự cố (post-mortem) hoàn chỉnh chi tiết liệu lỗ hổng có ảnh hưởng đến SideSwap, phần mềm cầu nối, mã nguồn Elements của Liquid hay một phần khác của quy trình peg-out.
Giám đốc Công nghệ của Ledger, Charles Guillemet, đã thách thức mô tả của các tác nhân về bản thân sau khi họ trả lại phần lớn số tiền nhưng vẫn giữ lại gần 600 BTC.
Guillemet viết trên X: "Vậy là 3.400 BTC đã được hoàn lại. Các 'tin tặc mũ trắng' vẫn giữ 600 BTC. Nếu đây là một phần thưởng đã được đàm phán theo hợp đồng mã hóa được ký trên chuỗi, thì nó trông giống như tống tiền hơn là hack mũ trắng!"
Bình luận của ông tập trung vào việc thiếu các điều khoản được tiết lộ về số Bitcoin bị giữ lại. Một chương trình tiền thưởng tìm lỗi thông thường sẽ thiết lập các điều kiện về phần thưởng và hoàn trả trước khi một nhà nghiên cứu giữ lại một phần số tiền bị ảnh hưởng, trong khi không có thỏa thuận tương tự nào giữa Blockstream và các tác nhân được công khai.
Một vấn đề tương tự đã phát sinh sau vụ khai thác cầu nối Verus Ethereum vào tháng 5. Trong trường hợp đó, kẻ tấn công đã trả lại 75% số tiền bị đánh cắp và giữ lại 1.350 ETH, khi đó trị giá khoảng 2,8 triệu USD, sau khi Verus công khai đề xuất các điều khoản dàn xếp. Việc hoàn trả của Liquid khác biệt vì Blockstream chưa nói rằng 598,5 BTC còn lại cấu thành một khoản tiền thưởng được phê duyệt.
Các tuyên bố "mũ trắng" cũng không tự xác định tình trạng pháp lý của một tác nhân. Bất kỳ đánh giá pháp lý nào cũng sẽ phụ thuộc vào các yếu tố như sự ủy quyền, phương pháp được sử dụng để có được tài sản, thông tin liên lạc giữa các bên và luật pháp hiện hành. Không có cơ quan quản lý hoặc cơ quan thực thi pháp luật nào của Hoa Kỳ công bố hành động liên quan đến giao dịch rút tiền của Liquid.
Liquid là một sidechain Bitcoin liên minh được phát triển bởi Blockstream. Người dùng khóa BTC thông qua hệ thống peg của nó và nhận L-BTC trên sidechain theo tỷ lệ một đổi một, cho phép thanh toán nhanh hơn và chuyển tài sản mà không cần di chuyển mọi giao dịch qua lớp cơ sở Bitcoin.
Một giải thích về bảo mật cầu nối gần đây đã mô tả cách các hệ thống khóa tài sản trên một mạng và phát hành token tương ứng ở nơi khác phụ thuộc vào bảo mật của các hệ thống lưu ký, xác thực và xử lý tin nhắn của chúng. Lỗi tại bất kỳ điểm nào trong số đó có thể làm gián đoạn việc quy đổi ngay cả khi blockchain cơ sở vẫn hoạt động bình thường.
Đối với người dùng có trụ sở tại Hoa Kỳ, vấn đề trước mắt là về hoạt động hơn là thay đổi các quy tắc tiền điện tử liên bang. Các nhà nắm giữ L-BTC người Mỹ phải đối mặt với tình trạng tạm ngừng nạp, rút và dịch vụ peg tương tự như những người dùng khác, trong khi BTC gốc được giữ trực tiếp trên blockchain Bitcoin tách biệt với hệ thống sidechain của Liquid.
Liquid chưa tiết lộ liệu 3.400 BTC đã trả lại có khôi phục hoàn toàn bảo chứng cho nguồn cung L-BTC tương ứng hay không. Mạng cũng chưa nói cách họ dự định xử lý bất kỳ khoảng trống nào được tạo ra bởi 598,5 BTC vẫn đang được kiểm soát bởi các tác nhân.
Chưa có thời gian mở cửa trở lại cho các node cầu nối, và các sàn giao dịch vẫn đang được yêu cầu giữ việc nạp và rút L-BTC bị tạm ngừng. Blockstream cũng chưa công bố báo cáo kỹ thuật đã hứa về lỗ hổng hoặc xác nhận liệu các tác nhân có ý định trả lại số Bitcoin còn lại hay không.
BTC
