Liquid Network riprende le transazioni mentre l'hacker trattiene 600 BTC

La sidechain di Blockstream, Liquid, ha ripreso la produzione di blocchi giovedì, circa quattro giorni dopo che una persona che si è definita un hacker white hat ha svuotato quasi 4.000 BTC dal suo wallet di federazione e ne ha poi restituito la maggior parte. Il riavvio è pertinente per chiunque abbia Bitcoin Liquid (L-BTC) o stablecoin sulla rete.

I fondi sono sospesi dalla domenica, e circa 600 BTC ancora in mano all'attaccante rappresentano un buco nella riserva che sostiene tali token.

La chiave peg-out di SideSwap è stata utilizzata ma non rubata

In un aggiornamento di stato pubblicato alle 10:00 UTC, l'account @Liquid_BTC ha dichiarato che la produzione di blocchi è ripresa "senza transazioni" come misura precauzionale mentre il team monitora la piena stabilizzazione.

I nodi bridge e funzionari di Liquid hanno ora le patch software necessarie attive. I nodi funzionari stanno firmando e validando i blocchi come dovrebbero.

Le operazioni di peg sono disattivate mentre la rete ricostruisce la sua riserva BTC-to-L-BTC.

Tutto è iniziato domenica 6 settembre, quando hacker che rivendicavano lo status di white hat hanno prelevato circa 4.000 BTC, del valore di circa 320 milioni di dollari, dal wallet della Liquid Federation. Si trattava di circa il 95% del saldo del wallet di ~4.200 monete.

All'epoca, Cryptopolitan ha riportato che il prelievo è stato effettuato utilizzando la chiave di autorizzazione per il peg-out di SideSwap, che non era mai stata rubata.

Blockstream ha successivamente dichiarato che il problema era stato causato da un difetto in Elements, il software open source alla base di Liquid, che consentiva la creazione di L-BTC non validi e il loro riscatto tramite il percorso normale come se fossero stati completamente garantiti.

Il team ha rilasciato una correzione di emergenza, Elements v23.3.4, un giorno prima del riavvio, indurendo le chiavi di cache utilizzate per le prove di intervallo per chiudere la vulnerabilità di verifica delle prove collegata al furto.

Adam Back promette il peg ma non una scadenza

Dopo che Blockstream ha firmato una nota on-chain recitante: "I nodi bridge sono patchati, sicuro restituire i fondi", gli attori hanno restituito 3.400 BTC, circa 269,2 milioni di dollari al tasso di conversione del 7 settembre . Ciò ha lasciato circa 598,5 BTC ancora da saldare, una cifra compresa tra 46 e 47 milioni di dollari a seconda del prezzo attuale.

Il 9 settembre, l'hacker anonimo ha pubblicamente criticato le spese di Blockstream, sostenendo che l'azienda aveva allocato solo 1,5 milioni di dollari per proteggere 5 miliardi di dollari di attività.

"La tua negligenza è evidente," ha scritto l'hacker, avvisando che il resto delle monete sarebbe rimasto scomparso se non fosse stato pagato un bug bounty del 10%.

"DEVI pagare il 10% con i tuoi soldi come bug bounty o causerai ai tuoi holder una perdita del 15% per la tua irresponsabilità e avarizia," ha aggiunto l'attore della minaccia.

Il fondatore e CEO di Blockstream, Adam Back, ha rassicurato gli holder sul fatto che il peg L-BTC sarà onorato uno a uno, il che significa che gli utenti possono riscattare i loro token per la stessa quantità di Bitcoin sul livello base.

"Non vendere in panico OTC," ha scritto Back su X.

Non ha espresso come verrà coperto il deficit di ~600 BTC quando i peg-out si riapriranno né ha fornito una scadenza per il ripristino dei servizi di peg-in e peg-out.

La rete si è mossa di nuovo circa 10 ore dopo. Un aggiornamento di stato pubblicato alle 19:55 UTC ha verificato che le transazioni erano riprese, mentre i peg-out non sono disponibili.