La sidechain Liquid de Blockstream ha suspendido sus operaciones desde el domingo. Apareció una salida de aproximadamente 4.000 BTC de la billetera federal que respalda el L-BTC en circulación, lo que equivale a aproximadamente 320 millones de dólares según el precio mencionado en el artículo; tras el incidente, los nodos puente fueron desconectados.
Los fondos salen por la ruta de reembolso normal
Según Liquid y el miembro federal SideSwap, un cliente envió 4000 L-BTC a SideSwap a las 14:05 UTC. Posteriormente, estos tokens fueron destruidos bajo autorización válida, y 23 minutos después, la billetera federal completó el pago de aproximadamente 3996 BTC.
Liquid indicó que los fondos salieron a través de la clave de autorización de peg-out de SideSwap, pero ninguna de esta clave ni de las demás claves federales fue comprometida. SideSwap también afirmó que su sistema no fue invadido y atribuyó el problema a una vulnerabilidad en el software Elements utilizado por Liquid.
El informe menciona que Blockstream aún no ha revelado públicamente los detalles específicos de la vulnerabilidad. Sin embargo, el software subyacente de Liquid ya incorporó la corrección correspondiente hace cinco semanas. Según la información divulgada hasta ahora, nadie transfirió bitcoins directamente de las billeteras; en su lugar, primero se generaron L-BTC sin respaldo de bitcoins, y luego se intercambiaron por BTC mediante un proceso de reembolso que parecía legítimo.
El saldo de la billetera federal disminuyó a aproximadamente 200 BTC
Antes del evento, la billetera federal relevante tenía aproximadamente 4,200 BTC. Después del evento, el saldo disminuyó a aproximadamente 200 BTC, alrededor del 5% del nivel anterior.
- Volumen de salida anormal: aproximadamente 4,000 BTC
- Saldo de la billetera tras el evento: aproximadamente 200 BTC
- Diferencia de tiempo de liquidación de fondos: aproximadamente 23 minutos
Una línea de tiempo publicada por Samson Mow, exresponsable de seguridad de Blockstream, muestra que la dirección relacionada actualmente posee aproximadamente 3998.5 BTC.
Deja un comentario en la cadena afirmando ser un white hat
La parte que retiró los fondos dejó un mensaje en la cadena diciendo: "Somos white hat, contáctenos en la cadena". Posteriormente, Blockstream respondió a través de la dirección de correo electrónico incluida en la cadena, y se dice que ambas partes continuaron comunicándose mediante mensajes firmados con PGP en transacciones de Bitcoin.
El jefe de tecnología de Ledger, Charles Guillemet, inicialmente expresó escepticismo sobre la afirmación de “white hat”, argumentando que los verdaderos white hat no retirarían primero los fondos del puente y luego solicitarían contacto en la cadena. Posteriormente, añadió que actualmente algunos llamados white hat se niegan a devolver los fondos antes de que se reparen las vulnerabilidades.
Otros activos no se han visto afectados por el momento
La información actualmente revelada indica que otros activos en Liquid, incluidos USDT, DePix y activos del mundo real tokenizados, no se han visto afectados. La red principal de Bitcoin tampoco se ha visto afectada.
This means the impact of the event is primarily concentrated on the bridge and asset mapping mechanisms of the Liquid sidechain, rather than the Bitcoin network itself.