Blockstream mengumumkan pada 7 September bahwa node jembatan Liquid Network mereka telah diperbaiki dan diamankan, membuka jalan bagi kembalinya sekitar 4.000 BTC, senilai sekitar $320 juta, yang secara tidak sah dikuras dari dompet Liquid Federation sehari sebelumnya.
Eksploitasi, yang berasal dari bug dalam perangkat lunak Elements yang mendasari sidechain Liquid, memungkinkan penyerang memicu peg-out yang valid menggunakan L-BTC yang tidak valid. Sistem otomatis federasi tidak bisa membedakan perbedaannya.
Apa yang terjadi pada 6 September
Penyerang memanfaatkan kerentanan dalam kode Elements untuk menyalahgunakan Kunci Otorisasi Peg-out, atau PAK, SideSwap. Kunci tersebut merupakan bagian dari mekanisme yang mengonversi L-BTC (Bitcoin yang dibungkus di sidechain Liquid) kembali menjadi BTC asli di blockchain Bitcoin utama.
Hasilnya sangat buruk bagi cadangan federasi. Sebelum eksploitasi, dompet Liquid Federation memegang lebih dari 4.200 BTC. Setelahnya, angka tersebut anjlok menjadi sekitar 197 BTC.
Matematika itu berarti L-BTC tiba-tiba dan drastis kekurangan jaminan. Untuk setiap token L-BTC yang beredar di Jaringan Liquid, seharusnya ada satu BTC nyata yang mendukungnya. Setelah eksploitasi, kurang dari 5% jaminan itu tersisa di dompet.
Blockstream bertindak cepat. Node jembatan dinonaktifkan, aktivitas jaringan dihentikan, dan bursa diperintahkan untuk menangguhkan semua setoran dan penarikan L-BTC untuk mencegah kerusakan lebih lanjut.
Satu klarifikasi penting dari Blockstream: tidak ada PAK atau kunci federasi yang benar-benar dikompromikan. Eksploitasi ini sepenuhnya merupakan bug perangkat lunak, bukan pelanggaran terhadap kunci kriptografi yang mengatur model keamanan multi-tanda tangan jaringan.
Saluran negosiasi yang sangat tidak biasa
Mungkin detail paling mencolok dari insiden ini adalah bagaimana kedua belah pihak berkomunikasi. Blockstream dan pelaku eksploitasi saling bertukar pesan melalui transaksi OP_RETURN yang ditandatangani PGP di blockchain bitcoin itu sendiri.
Untuk non-teknis: OP_RETURN adalah bidang transaksi Bitcoin yang memungkinkan Anda menyematkan sejumlah kecil data sewenang-wenang. Dalam kasus ini, ia menjadi sistem pesan yang aman, publik, dan diverifikasi secara kriptografis antara perusahaan blockchain besar dan orang yang baru saja menarik seluruh cadangannya.
Penyerang, melalui pesan-pesan on-chain ini, menunjukkan niat untuk mengembalikan sebagian besar dana yang dicuri setelah sistem dikonfirmasi telah diperbaiki.
Pada 7 September, Blockstream mengonfirmasi melalui saluran yang sama bahwa patch telah diterapkan dan mendorong pengembalian dana segera.
Pada tanggal tersebut, sekitar 3.998,5 BTC belum bergerak dari alamat penerima. Perbedaan kecil dari 4.000 BTC asli kemungkinan mencerminkan biaya transaksi yang timbul selama eksploitasi itu sendiri.
Kerusakan sampingan dan apa yang selamat
Meskipun eksploitasi tersebut merusak cadangan BTC yang mendukung L-BTC, aset-aset lain di Jaringan Liquid tampaknya tidak terdampak. USDT dan DePix, sebuah stablecoin yang berdenominasi real Brasil, keduanya beroperasi di Liquid tetapi dilaporkan tidak terpengaruh oleh insiden tersebut.
Kerentanan tersebut bersifat spesifik pada mekanisme peg-out untuk L-BTC, bukan pelanggaran luas terhadap pemrosesan transaksi sidechain.
Apa yang datang selanjutnya
Prioritas segera adalah pengembalian sekitar 3.998,5 BTC. Jika pelaku eksploitasi menindaklanjuti niat yang dinyatakan, Blockstream dapat memulihkan rasio jaminan L-BTC dan melanjutkan operasi jaringan Liquid secara normal.
Bursa yang menghentikan perdagangan L-BTC kemungkinan akan tetap mempertahankan penghentian tersebut hingga situasi sepenuhnya terselesaikan.