Liquid восстанавливает 3 400 BTC, но разрыв в выводе средств обнажает риск бухгалтерского учета мостов
- Актёры, стоящие за инцидентом с Liquid Network, в ходе которого было похищено около 4000 BTC, в понедельник вернули 3400 BTC (примерно 269,2 млн долларов США) после того, как Blockstream опубликовала сообщение, подтверждающее исправление уязвимости на своих мостовых узлах. Однако около 598,5 BTC всё ещё числятся пропавшими.
- Этот случай важен для всех, кто хранит биткоины на мостах: вывод средств был оформлен как легитимная транзакция, что выявило слабые механизмы мониторинга резервов, а не какие-либо недостатки самого Bitcoin.
- Liquid пока не сообщил, когда возобновит работу своих услуг по обмену, до тех пор пока остальные средства не будут возвращены или разница в резервах не будет покрыта.
Сеть Liquid смогла восстановить значительную часть биткоина (BTC), выведенного из кошелька федерации в выходные. Однако это не устраняет более серьезную проблему. Суть события в том, что вывод средств может произойти по ожидаемому маршруту авторизации, даже если L-BTC, участвующий в транзакции, не должен был быть создан.
В понедельник (7 сентября) группа, ответственная за вывод средств, вернула 3 400 BTC федерации, вернув около 85% потерянных денег. В результате у них осталось 598,5 BTC. Для единообразия все конвертации в доллары в этой статье используют курс CoinMarketCap для конвертации биткоина в доллары в размере $79 001,61 (указанный на 7 сентября).
Действительный вывод средств, который федерация утверждает, что никогда не авторизовала
На первый взгляд транзакция кажется рутинной. SideSwap заявила, что в 14:05 UTC в воскресенье клиент передал 4 000 L-BTC на ее сервис вывода средств. После предоставления действительного авторизационного документа SideSwap примерно 3 996 BTC стали доступны из кошелька федерации в 14:28:56 UTC.
Однако ключ авторизации не был украден. Liquid сообщила, что ключ авторизации SideSwap не использовался неправомерно. SideSwap также сообщила, что Blockstream позже определила, что причиной события стал сбой в программном обеспечении Elements, который позволил генерировать недействительные L-BTC. Следовательно, механизм вывода средств позволял ложным токенам просачиваться, которые выглядели легитимно, хотя и не имели обеспечения, которое должно было быть у L-BTC.
Это делает дело отличным от обычных случаев компрометации ключей и переводит его в область бухгалтерских проблем. Согласно whitepaper Liquid, L-BTC определяется как биткоин, который входит в сайдчейн с помощью так называемого двухстороннего пег-механизма, где некоторые BTC в руках федерации используются для выкупа монеты. И если L-BTC вводится недействительным образом через путь выкупа, важность целостности резервов равна важности самих ключей авторизации.
Переговоры проходили в сообщениях транзакций Bitcoin
Коммуникация между Blockstream и участниками происходила через сообщения, встроенные в транзакции Bitcoin. Хронология Сэмсона Моу показала, что участники требовали от Blockstream устранить уязвимость, прежде чем они вернут деньги.
Позже Blockstream распространила подписанное заявление: «Мостовые узлы исправлены, безопасно возвращать средства». Участники подтвердили Blockstream конечное назначение и вернули средства в размере 3 400 BTC в федерацию Liquid в 16:09:25 UTC 7 сентября.
Почему отсутствующие 598.5 BTC оставляют вопрос о резервах открытым
Возврат 85% средств, безусловно, большая победа, но это не решает проблемы для системы, которая полагается на обеспечение один к одному. Примерно 598,5 BTC остаются вне федерации, что составляет около $47,3 млн по рыночной цене, рассчитанной в данном случае.
Согласно предыдущему отчету Cryptopolitan, особенностью события было то, что использовался механизм авторизации вывода средств SideSwap, хотя взлома на уровне ключей не произошло. Базовый слой Bitcoin также функционировал нормально. Проблема заключалась на более раннем этапе, когда ложно отчеканенные L-BTC проходили через механизм выкупа, предназначенный для выпуска реального BTC.
Что пользователям мостового биткоина следует понять из этого события: это было больше, чем просто кража закрытого ключа. Это показало, как проблема программного обеспечения может привести к тому, что запрос на легитимный выкуп будет сделан без фактических резервов для его обеспечения. Даже если оставшийся биткоин будет возвращен, основная проблема остается: процесс вывода средств Liquid позволяет конвертировать реальный BTC в L-BTC, который никогда не должен был считаться действительным обеспечением.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Часто задаваемые вопросы
Какую сумму хакеры Liquid вернули и сколько денег всё ещё отсутствует?
По данным Decrypt, злоумышленники вернули 3400 BTC стоимостью около 269,2 млн долларов США, что составляет примерно 85% от похищенных средств. Около 598,5 BTC (примерно 47 млн долларов США) всё ещё находятся на адресе, связанном с выводом средств.
Что побудило хакеров вернуть биткоины?
Возврат средств последовал за сообщением, подписанным PGP, от компании Blockstream, в котором говорилось, что мостовые узлы Liquid были исправлены и можно безопасно возвращать средства, согласно ончейн-хронологии Самсона Моу.
Был ли сам Bitcoin взломан в ходе инцидента с Liquid?
Нет. SideSwap заявила, что 4000 L-BTC были сожжены в рамках действительного авторизованного вывода средств до того, как федерация выпустила биткоины, а Cryptopolitan ранее сообщал, что инцидент был связан с ключом авторизации вывода средств SideSwap, а не с каким-либо нарушением безопасности базового уровня Bitcoin.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ибиам Вайяс
Ибиам Вайяс освещает криптовалютные новости с 2019 года. Он изучал компьютерные науки в Национальном открытом университете Нигерии. Его работы публиковались на различных криптовалютных новостных платформах, включая Coinfomania, Crypto News Australia и AltcoinBuzz. Опираясь на свой опыт в области компьютерных наук, он теперь фокусируется на новостях о криптовалютах, робототехнике и долголетии.
