خسرت شبكة Liquid التابعة لـ Blockstream، إحدى أقدم وأبرز سلاسل جانبية لـ Bitcoin، حوالي 4,000 BTC، ما يعادل حوالي 320 مليون دولار، بعد أن استغل القراصنة ثغرة في برنامجها الأساسي في 6 سبتمبر. وانهارت احتياطيات الاتحاد من أكثر من 4,200 BTC إلى حوالي 197 BTC دفعة واحدة، مما يجعلها واحدة من أكبر خروقات الأمن التي تشهدها شبكة مرتبطة بـ Bitcoin هذا العام.
الجانب الإيجابي، إن أمكن تسميته كذلك: فقد هوية المهاجمين أنفسهم كقراصنة بيض، وأعادوا حوالي 3,400 BTC بعد أن تأكدت Blockstream من إصلاحها للثغرة. احتفظوا بحوالي 598 BTC، بقيمة حوالي 47 مليون دولار، كمكافأة ذاتية التعيين.
كيف عمل الاستغلال
كانت الثغرة موجودة في برنامج Elements، وهو قاعدة الكود مفتوحة المصدر التي تُمكّن شبكة Liquid. على وجه التحديد، سمح خطأ في ذاكرة التخزين المؤقت للتحقق من إثبات النطاق للمهاجمين بإنشاء رموز بيتكوين سائلة (L-BTC) غير صالحة قبل أن تقبلها النظام كرموز شرعية. ثم تم معالجة هذه الرموز المزيفة عبر مفتاح تفويض الإخراج الجانبي (PAK) الخاص بـ SideSwap، والذي حوّلها إلى سحوبات حقيقية من محفظة الاتحاد.
بشكل حاسم، لم تُخترق أي مفاتيح اتحاد أثناء الهجوم. يعمل شبكة Liquid على نموذج متعدد التوقيع 11 من أصل 15 للاتحاد، مما يعني أنه يجب على 11 من أصل 15 كيانات مُعينة التوقيع على المعاملات. وقد ظل نموذج متعدد التوقيع سليمًا. كانت المشكلة في المرحلة السابقة: البرنامج الذي يتحقق مما يتم إرساله إلى متعدد التوقيع في المقام الأول.
لم تتأثر الأصول الأخرى المحفوظة على شبكة Liquid، بما في ذلك USDT والأصول الواقعية المُمَثَّلة برموز، بالاختراق. كان العيب محددًا لتحقق رمز L-BTC.
الانعكاسات والتجميد
على الرغم من العودة الجزئية للأموال، لا يزال شبكة السائلة متوقفة. تم تعليق جميع الأنشطة التي تشمل L-BTC عبر البورصات، ولا يوجد جدول زمني عام لموعد استئناف العمليات الطبيعية. بالنسبة للشبكة التي أُطلقت في عام 2018 مع الوعد الصريح بتوفير معاملات بيتكوين أسرع وأكثر سرية للمتداولين المؤسسيين، فإن هذا ضربة كبيرة لمصداقيتها.
تُخبر احتياطيات الاتحاد القصة بوضوح تام. قبل الهجوم، كان المحفظة تحتوي على أكثر من 4,200 BTC. بعد إعادة الأبيض القبعة، تبلغ حوالي 3,600 BTC، ولا تزال ناقصة 598 BTC التي احتفظ بها المخترقون.
كما يثير الحادث أسئلة غير مريحة حول بنية السلسلة الجانبية الموزعة بشكل أوسع. إن نموذج Liquid يعتمد على ثقة مجموعة صغيرة نسبيًا من الكيانات لتأمين الجسر بين السلسلة الرئيسية لبيتكوين والسلاسل الجانبية. عندما يكون هناك خطأ حرج في البرنامج الذي تعتمد عليه هذه الكيانات الموثوقة، يتأثر عرض القيمة الكامل للنموذج.
الآثار الأوسع على بنية بيتكوين
كود مصدر Elements، على الرغم من كونه مفتوح المصدر وقابلًا للتدقيق، فقد احتاج بوضوح إلى مراجعة أكثر صرامة لمنطق التحقق. إن خطأ في التخزين المؤقت في التحقق من إثبات النطاق هو بالضبط النوع الدقيق والتقني العميق من العيوب الذي يمكن أن يسبب أضرارًا كارثية عند اكتشافه.
يُستخدم قاعدة كود Elements خارج Liquid فقط، وأي مشروع مبني عليها سيحتاج إلى إثبات أن نفس الثغرة لا توجد في تنفيذهم.
إن الإطار الأخلاقي للهجوم، رغم نتائجه الحقيقية، يُرسي سابقة معقدة أيضًا. الاحتفاظ بـ 47 مليون دولار في بيتكوين كمكافأة غير مطلوبة هو ممارسة تقع في منطقة قانونية رمادية. سواء رأت الجهات التنظيمية أو إنفاذ القانون في ذلك إفصاحًا مسؤولًا أو سرقة مع تعويض جزئي، فقد يشكل ذلك طريقة التعامل مع حوادث مشابهة في المستقبل.