В четверг сайдчейн Liquid от Blockstream возобновил производство блоков, примерно через четыре дня после того, как человек, представившийся «белым хакером», вывел из его федеративного кошелька около 4000 $BTC, а затем вернул большую часть этих средств. Возобновление работы сети актуально для всех, кто владеет Liquid Bitcoin (L-$BTC) или стейблкоинами в этой сети.
С воскресенья операции с этими токенами приостановлены, и около 600 $BTC, всё ещё находящихся в руках злоумышленника, представляют собой дыру в резерве, обеспечивающем эти токены.
Ключ от SideSwap использовался, но никогда не был украден
В сообщении, опубликованном в 10:00 UTC, аккаунт @Liquid_$BTC заявил , что производство блоков возобновилось «без транзакций» в качестве меры предосторожности, пока команда следит за полной стабилизацией ситуации.
На узлах-мостах и функциональных узлах Liquid теперь установлены необходимые обновления программного обеспечения. Функциональные узлы подписывают и проверяют блоки должным образом.
Операции по привязке отключаются, пока сеть восстанавливает свой резерв $BTC-к-L-$BTC.
Всё началось в воскресенье, 6 сентября, когда хакеры, заявившие о своём статусе «белых хакеров», вывели около 4000 $BTC, что составляет примерно 320 миллионов долларов, из кошелька Liquid Federation. Это составляло около 95% от баланса кошелька, насчитывавшего примерно 4200 монет.
В то время Cryptopolitan сообщило, что вывод средств был осуществлен с использованием ключа авторизации SideSwap, который, по всей видимости, не был украден.
Позже Blockstream заявила, что проблема была вызвана уязвимостью в Elements, программном обеспечении с открытым исходным кодом, лежащем в основе Liquid, которое позволяло создавать недействительные L-$BTC и погашать их обычным способом, как если бы они были полностью обеспечены.
За день до перезапуска команда выпустила экстренное исправление, Elements v23.3.4, усилив защиту ключей кэша, используемых для проверки диапазонов, чтобы устранить уязвимость проверки доказательств, связанную с кражей.
Адам Бэк обещает установить цену, но не называет сроков
После того, как Blockstream подписал в блокчейне сообщение о том, что «узлы-мосты исправлены, возврат средств безопасен», злоумышленники вернули 3400 $BTC, что составляет около 269,2 миллиона долларов по курсу. В результате осталось около 598,5 $BTC непогашенной суммы, что составляет примерно от 46 до 47 миллионов долларов в зависимости от текущей цены.
9 сентября анонимный хакер публично раскритиковал расходы Blockstream, заявив, что компания выделила всего 1,5 миллиона долларов на защиту активов на сумму 5 миллиардов долларов.
«Ваше неисполнение обязанностей очевидно», — написал хакер, предупредив, что остальные монеты так и останутся пропавшими, если не будет выплачено вознаграждение в размере 10% от суммы обнаруженной ошибки.
«Вы ОБЯЗАНЫ заплатить 10% из собственных средств в качестве вознаграждения за обнаружение уязвимостей, иначе вы нанесете всем своим владельцам ущерб в размере 15% из-за своей безответственности и скупости», — добавил злоумышленник.
Основатель и генеральный директор Blockstream Адам Бэк заверил держателей токенов, что привязка L-$BTC будет соблюдаться в соотношении один к одному, то есть пользователи смогут обменять свои токены на такое же количество Bitcoin на базовом уровне.
«Не стоит паниковать и продавать на внебиржевом рынке», — написал Back на X.
Он не уточнил, как будет покрыт дефицит в размере ~600 $BTC после возобновления работы привязок к валютному рынку, и не назвал сроки восстановления работы привязок к валютному рынку и обратно.
Сеть снова заработала примерно через 10 часов. В обновлении статуса, опубликованном в 19:55 UTC, подтверждалось возобновление транзакций, в то время как точки ограничения скорости недоступны.