Seseorang baru sahaja berpindah kira-kira 4,000 BTC keluar daripada Rangkaian Liquid dalam satu transaksi peg-out tunggal, meninggalkan mesej OP_RETURN yang pada dasarnya berkata: “Kami orang baik. Mari kita bercakap.”
Jumlah rampasan, sekitar 4,200 BTC yang dikaitkan dengan transaksi tersebut, bernilai sekitar $320 juta pada harga Bitcoin semasa yang mendekati $80,000. Samada ini misi penyelamatan atau rampasan yang disamarkan sebagai satu misi penyelamatan adalah soalan yang belum ada siapa pun boleh jawab, kerana baik Rangkaian Cecair mahupun syarikat induknya, Blockstream, belum mengeluarkan sebarang kenyataan.
Apa yang sebenarnya berlaku
Pada 6 September, transaksi peg-out di Jaringan Liquid memindahkan sekitar 4.200 BTC kembali ke mainchain Bitcoin. Sekitar 4.000 BTC dipindahkan secara serentak dalam apa yang kelihatan sebagai operasi yang terkoordinasi.
Ditertanam dalam transaksi tersebut ialah mesej OP_RETURN, medan data kecil yang boleh dibawa oleh transaksi bitcoin. Mesej tersebut mengenal pasti pihak-pihak di sebalik tindakan itu sebagai “white hats” dan mengajak komunikasi lanjut di atas rantai.
Sifat pergerakan tersebut masih benar-benar tidak jelas. Belum disahkan sama ada ini merupakan eksploitasi terhadap model keselamatan rangkaian, operasi yang diberi kebenaran yang dijalankan oleh orang dalam, atau sesuatu yang lain sepenuhnya.
Liquid Network memproses peg-out dalam kumpulan yang biasanya mengambil masa 11 hingga 35 minit. Fakta bahawa volum ini bergerak melalui sistem tanpa gangguan yang jelas menimbulkan soalan tajam mengenai bagaimana kebenaran diperoleh.
Bagaimana Liquid Network seharusnya berfungsi
Liquid Network adalah sidechain Bitcoin yang dibina oleh Blockstream. Ia beroperasi di bawah model yang dipanggil Strong Federation, yang merupakan cara lain untuk mengatakan bahawa konsorsium entiti yang telah disemak secara bersama menguruskan simpanan Bitcoin yang menyokong token L-BTC sidechain tersebut.
Arsitektur keselamatan bergantung pada susunan multisig 11-dari-15. Itu bermaksud sekurang-kurangnya 11 daripada 15 fungionari yang ditetapkan mesti menandatangani sebarang pergerakan bitcoin yang menjadi asas.
Selain itu, sistem memerlukan Kunci Otorisasi Peg-out, atau PAK, untuk sebarang penarikan kembali ke mainchain Bitcoin. PAK wujud khusus untuk mengurangkan risiko yang ditimbulkan oleh fungionari yang tercompromi.
Pergerakan 4.200 BTC either bermaksud model keselamatan bertingkat ini telah dilanggar, atau transaksi tersebut secara bagaimanapun juga diberikan kebenaran melalui saluran yang sah. Tiada penjelasan mana-mana yang terlalu meyakinkan tanpa penyata rasmi.
Soalan topi putih
Mengenali diri sebagai seorang penyerang berhati putih melalui mesej di rantai bukanlah sesuatu yang tidak pernah berlaku. Dalam insiden-insiden sebelumnya dalam DeFi, penyerang telah menggunakan taktik serupa untuk bernegosiasi pengembalian dana, sering kali mengekalkan sebahagian sebagai “bounty” kerana mengenal pasti kerentanan tersebut. Eksploitasi Euler Finance pada 2023 dan serangan Poly Network pada 2021 kedua-duanya mengikuti rencana ini.
Pemboleh ubah kritikal di sini adalah respons Blockstream, atau kekurangannya. Syarikat ini tidak mengeluarkan sebarang pernyataan yang mengesahkan akses tidak sah, menyangkal eksploitasi, atau mengakui transaksi sama sekali.
Apa yang bermaksud ini terhadap keselamatan sidechain
Model rantai samping bersekutu seperti Liquid menempati ruang tengah yang menarik dalam ekosistem bitcoin. Mereka tidak sepenuhnya tanpa kepercayaan seperti lapisan asas bitcoin, tetapi mereka juga tidak sepenuhnya terpusat. Komprominya ialah kelajuan dan fungsi sebagai ganti kepercayaan terhadap set validator yang diketahui.
Jika 11 daripada 15 ahli fungsi boleh dikompromikan atau jika sistem PAK boleh dilangkau, andaian keselamatan yang menjadi asas Liquid perlu ditinjau semula secara serius. Model federasi berfungsi hanya jika federasi itu sendiri selamat, dan $320 juta baru sahaja keluar melalui pintu.
Untuk pemegang bitcoin yang menggunakan Liquid untuk transaksi lebih pantas, pindah sulit, atau akses kepada aset asli Liquid, kebimbangan segera adalah praktikal: adakah baki simpanan selamat? Tanpa keterbukaan daripada Blockstream, soalan itu tergantung di udara.