Liquid gewinnt 3.400 BTC zurück, aber seine Peg-Out-Lücke offenbart ein Buchhaltungsrisiko der Bridge
- Die Akteure hinter dem Vorfall mit rund 4.000 BTC im Liquid Network haben am Montag 3.400 BTC (ca. 269,2 Millionen US-Dollar) zurückerstattet, nachdem Blockstream eine Nachricht gesendet hatte, die bestätigte, dass seine Bridge-Knoten gepatcht wurden; dennoch bleiben knapp 598,5 BTC ausstehend.
- Der Fall ist für alle relevant, die gebrochtes Bitcoin halten, da der abgezogene Peg-Out als gültige Transaktion verarbeitet wurde und somit schwache Überwachungsmechanismen für die Rücklagen offenbart, nicht jedoch einen Fehler in Bitcoin selbst.
- Bis der Rest zurückerstattet oder die Deckungslücke geschlossen wird, hat Liquid keinen Zeitpunkt genannt, an dem seine Peg-Dienste wieder aufgenommen werden.
Das Liquid Network konnte einen erheblichen Teil des Bitcoins (BTC), der am Wochenende aus seinem Föderations-Wallet entnommen wurde, zurückgewinnen. Dies beseitigt jedoch nicht den schwerwiegenderen Punkt. Das Problem des Vorfalls besteht darin, dass der Peg-Out über den erwarteten Autorisierungsweg erfolgen kann, auch wenn das an der Transaktion beteiligte L-BTC nicht hätte erstellt werden dürfen.
Am Montag (7. September) hat die für den Abzug zuständige Gruppe 3.400 BTC an die Föderation zurücküberwiesen und damit rund 85 % des verlorenen Geldes zurückgegeben. Die Transaktion hinterließ ihnen 598,5 BTC. Der Konsistenz halber verwenden alle Dollar-Umrechnungen in diesem Artikel den Bitcoin-zu-USD-Kurs von CoinMarketCap von 79.001,61 US-Dollar (der am 7. September angegeben wurde).
Eine gültige Peg-Out-Transaktion, die die Föderation angibt, nie autorisiert zu haben
Auf den ersten Blick scheint die Transaktion routinemäßig zu sein. SideSwap behauptete, dass ein Kunde um 14:05 Uhr UTC am Sonntag 4.000 L-BTC an seinen Peg-Out-Service übermittelte. Nach Vorlage einer gültigen SideSwap-Peg-Out-Autorisierung wurden etwa 3.996 BTC aus dem Wallet der Föderation um 14:28:56 Uhr UTC verfügbar gemacht.
Der Autorisierungsschlüssel wurde jedoch nicht gestohlen. Liquid meldete, dass der Autorisierungsschlüssel von SideSwap nicht missbräuchlich verwendet wurde. SideSwap berichtete auch, dass Blockstream später feststellte, dass der Grund für den Vorfall ein Fehler in der Elements-Software war, der die Generierung ungültiger L-BTC ermöglichte. Daher ließ der Peg-Out-Mechanismus falsche Token durchscheinen, die legitim aussahen, obwohl sie nicht die Unterstützung hatten, die L-BTC haben sollte.
Dies macht die Angelegenheit anders als bei üblichen Fällen von Schlüsselkompromittierung und verschiebt sie in den Bereich der Buchhaltungsprobleme. Laut Liquid’s Whitepaper wird L-BTC als Bitcoin definiert, das mit Hilfe einer sogenannten Two-Way-Peg in die Sidechain eintritt, wobei ein Teil des BTC in den Händen einer Föderation verwendet wird, um die Münze einzulösen. Und wenn L-BTC auf ungültige Weise über seinen Einlösungsweg eingeht, ist die Bedeutung der Integrität der Reserven genauso groß wie die der Autorisierungsschlüssel selbst.
Die Verhandlung spielte sich in Bitcoin-Transaktionsnachrichten ab
Die Kommunikation zwischen Blockstream und den Akteuren erfolgte über Nachrichten, die in die Bitcoin-Transaktionen eingebettet waren. Der Zeitplan von Samson Mow deutete darauf hin, dass die Akteure Blockstream drängten, die Schwachstelle zu beheben, bevor sie das Geld zurückgeben würden.
Später schickte Blockstream eine unterzeichnete Notiz heraus, in der es hieß: „Bridge-Knoten sind gepatcht, sicher, die Mittel zurückzugeben.“ Die Akteure bestätigten mit Blockstream das endgültige Ziel und gaben den Geldbetrag in Höhe von 3.400 BTC um 16:09:25 Uhr UTC am 7. September an die Liquid Federation zurück.
Warum die fehlenden 598.5 BTC die Reservefrage offen lassen
85 % der Mittel zurückzuerhalten ist sicherlich ein großer Gewinn, aber es behebt nicht die Probleme für ein System, das auf eine Eins-zu-Eins-Unterstützung angewiesen ist. Ungefähr 598,5 BTC bleiben außerhalb der Föderation, was bei dem in diesem Fall berechneten Marktpreis etwa 47,3 Millionen US-Dollar entspricht.
Laut einem früheren Bericht von Cryptopolitan war ein besonderes Merkmal des Vorfalls, dass der SideSwap-Peg-Out-Autorisierungsmechanismus verwendet wurde, obwohl kein Bruch auf Schlüsselebene stattfand. Die Bitcoin-Basisschicht funktionierte ebenfalls einwandfrei. Das Problem lag upstream, wo falsch gemünztes L-BTC einen Einlösungsmechanismus durchlief, der darauf abzielte, echtes BTC freizugeben.
Was die Nutzer von gebridgtem Bitcoin aus diesem Ereignis mitnehmen sollten, ist Folgendes: Dies war mehr als nur ein Diebstahl eines privaten Schlüssels. Es zeigte, wie ein Softwareproblem dazu führen kann, dass eine scheinbar legitime Einlösungsanfrage ohne tatsächliche Reserven zur Absicherung gestellt wird. Selbst wenn das verbleibende Bitcoin zurückgegeben wird, bleibt das zugrunde liegende Problem bestehen: Liquid’s Peg-Out-Prozess gelingt es, echtes BTC in L-BTC umzuwandeln, das niemals als gültig besichert hätte betrachtet werden dürfen.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Häufig gestellte Fragen
Wie viel haben die Liquid-Hacker zurückgegeben und wie viel fehlt noch?
Laut Decrypt gaben die Akteure 3.400 BTC zurück, was einem Wert von rund 269,2 Millionen US-Dollar entspricht, also etwa 85 % der Mittel. Ungefähr 598,5 BTC (ca. 47 Millionen US-Dollar) verbleiben weiterhin auf der Adresse, die mit dem Abhebungsprozess verknüpft ist.
Was hat die Hacker dazu bewogen, das Bitcoin zurückzusenden?
Die Rückgabe erfolgte nach einer PGP-signierten Erklärung von Blockstream, wonach die Bridge-Knoten von Liquid gepatcht seien und es sicher sei, die Mittel zurückzugeben, wie Samson Mows Zeitstrahl in der Blockchain zeigt.
Wurde Bitcoin selbst beim Liquid-Vorfall gehackt?
Nein. SideSwap gab an, dass die 4.000 L-BTC gegen eine gültige Peg-Out-Autorisierung verbrannt wurden, bevor die Föderation das Bitcoin freigegeben hat, und Cryptopolitan hatte zuvor berichtet, dass das Problem den Peg-Out-Autorisierungsschlüssel von SideSwap betraf und nicht etwa einen Kompromitt der Bitcoin-Base-Layer.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Ibiam Wayas
Ibiam Wayas berichtet seit 2019 über Krypto-Nachrichten. Er studierte Informatik an der National Open University of Nigeria. Seine Arbeiten erschienen in verschiedenen Krypto-Nachrichtenplattformen, darunter Coinfomania, Crypto News Australia und AltcoinBuzz. Aufgrund seines Hintergrunds in der Informatik konzentriert er sich nun auf Nachrichten zu Kryptowährungen, Robotik und Langlebigkeit.
