Rede Liquid retoma transações enquanto hacker mantém 600 BTC

A sidechain Liquid da Blockstream retomou a produção de blocos na quinta-feira, cerca de quatro dias depois que uma pessoa que se dizia um hacker de chapéu branco drenou quase 4.000 BTC de sua carteira de federação e depois devolveu a maior parte. A reinicialização é pertinente para qualquer pessoa com Bitcoin Liquid (L-BTC) ou stablecoins na rede.

Os fundos foram suspensos desde domingo, e cerca de 600 BTC ainda nas mãos do atacante representam um buraco na reserva que respalda esses tokens.

A chave de peg-out da SideSwap foi usada, mas nunca roubada

Em uma atualização de status postada às 10h00 UTC, a conta @Liquid_BTC disse que a produção de blocos havia retornado “sem transações” como medida preventiva enquanto a equipe monitora a estabilização completa.

Os nós de ponte e funcionários da Liquid agora têm os patches de software necessários em vigor. Os nós funcionários estão assinando e validando blocos como deveriam.

As operações de peg estão desligadas enquanto a rede reconstrói sua reserva de BTC para L-BTC.

Tudo começou no domingo, 6 de setembro, quando hackers que reivindicavam status de chapéu branco retiraram cerca de 4.000 BTC, valendo cerca de US$ 320 milhões, da carteira da Federação Liquid. Isso foi cerca de 95% do saldo de ~4.200 moedas da carteira.

Na época, a Cryptopolitan relatou que o saque foi feito usando a chave de autorização de peg-out da SideSwap, que nunca foi roubada.

A Blockstream disse mais tarde que o problema foi induzido por uma falha no Elements, o software de código aberto que sustenta a Liquid, que permitia a criação de L-BTC inválido e seu resgate via caminho normal como se tivesse sido totalmente respaldado.

A equipe enviou uma correção de emergência, Elements v23.3.4, um dia antes da reinicialização, endurecendo as chaves de cache usadas para provas de intervalo para fechar a vulnerabilidade de verificação de prova conectada ao roubo.

Adam Back promete o peg, mas não um cronograma

Depois que a Blockstream assinou uma nota on-chain dizendo: “Nós de ponte estão corrigidos, seguro retornar os fundos”, os atores devolveram 3.400 BTC, cerca de US$ 269,2 milhões na conversão de 7 de setembro taxa. Isso deixou cerca de 598,5 BTC pendentes, algo em torno de US$ 46 milhões a US$ 47 milhões, dependendo do preço atual.

Em 9 de setembro, o hacker anônimo criticou publicamente os gastos da Blockstream, alegando que a empresa havia alocado apenas US$ 1,5 milhão para proteger US$ 5 bilhões em ativos.

“Sua negligência de dever é óbvia,” escreveu o hacker, alertando que o resto das moedas permaneceria desaparecido a menos que uma recompensa por bug de 10% fosse paga.

“Você DEVE pagar 10% usando seu próprio dinheiro como recompensa por bug ou causará a todos os seus detentores uma perda de 15% por sua irresponsabilidade e avareza,” acrescentou o ator da ameaça.

O fundador e CEO da Blockstream, Adam Back, tranquilizou os detentores de que o peg do L-BTC será honrado um para um, o que significa que os usuários podem resgatar seus tokens pela mesma quantidade de Bitcoin na camada base.

“Não vendam em pânico no OTC,” escreveu Back no X.

Ele não expressou como o déficit de ~600 BTC será coberto quando os peg-outs forem reabertos ou forneceu um cronograma para restaurar os serviços de peg-in e peg-out.

A rede se moveu novamente cerca de 10 horas depois. Uma atualização de status postada às 19h55 UTC verificou que as transações haviam retornado, enquanto os peg-outs estão indisponíveis.