Alguém acabou de mover aproximadamente 4.000 BTC fora da Rede Liquid em uma única transação de peg-out, deixando para trás uma mensagem OP_RETURN que dizia essencialmente: “Somos os caras bons. Vamos conversar.”
A quantia total, aproximadamente 4.200 BTC vinculados à transação, vale cerca de US$ 320 milhões aos preços atuais de Bitcoin próximos a US$ 80.000. Se isso é uma missão de resgate ou um assalto disfarçado de uma é a pergunta que ninguém ainda pode responder, pois nem a Liquid Network nem sua empresa-mãe Blockstream disseram uma palavra.
O que realmente aconteceu
Em 6 de setembro, uma transação de peg-out na Liquid Network moveu aproximadamente 4.200 BTC de volta para a mainchain do Bitcoin. Cerca de 4.000 BTC foram transferidos simultaneamente no que parece ser uma operação coordenada.
Incorporada na transação estava uma mensagem OP_RETURN, um pequeno campo de dados que as transações de bitcoin podem transportar. A mensagem identificava as partes por trás da movimentação como “white hats” e convidava para mais comunicação na cadeia.
A natureza do movimento permanece verdadeiramente incerta. Não foi confirmado se isso foi uma exploração do modelo de segurança da rede, uma operação autorizada realizada por insiders ou algo completamente diferente.
A Liquid Network processa saídas de peg em lotes que normalmente levam de 11 a 35 minutos. O fato de que esse volume passou pelo sistema sem interrupção aparente levanta perguntas relevantes sobre como a autorização foi obtida.
Como a Liquid Network deve funcionar
O Liquid Network é uma sidechain de bitcoin construída pela Blockstream. Ela opera sob o que é chamado de modelo de Federação Forte, que é uma forma elegante de dizer que um consórcio de entidades verificadas gerencia coletivamente as reservas de bitcoin que respaldam os tokens L-BTC da sidechain.
A arquitetura de segurança baseia-se em um arranjo multisig de 11 de 15. Isso significa que pelo menos 11 dos 15 funcionários designados devem autorizar qualquer movimentação do bitcoin subjacente.
Além disso, o sistema exige Chaves de Autorização de Peg-out, ou PAKs, para qualquer retirada de volta para a mainchain do Bitcoin. As PAKs existem especificamente para reduzir o risco apresentado por funcionários comprometidos.
O movimento de 4.200 BTC significa que esse modelo de segurança em camadas foi contornado, ou que a transação foi autorizada de alguma forma por canais legítimos. Nenhuma dessas explicações é particularmente reconfortante sem uma declaração oficial.
A pergunta do chapéu branco
Autoidentificar-se como um hacker de chapéu branco por meio de uma mensagem na cadeia não é algo sem precedentes. Em incidentes anteriores no DeFi, atacantes usaram táticas semelhantes para negociar a devolução de fundos, frequentemente mantendo uma porcentagem como uma “recompensa” por identificar a vulnerabilidade. A exploração da Euler Finance em 2023 e o ataque à Poly Network em 2021 seguiram esse mesmo roteiro.
A variável crítica aqui é a resposta da Blockstream, ou a falta dela. A empresa não divulgou nenhuma declaração confirmando acesso não autorizado, negando uma exploração ou reconhecendo a transação de qualquer forma.
O que isso significa para a segurança da sidechain
Modelos de sidechain federados, como o Liquid, ocupam um ponto intermediário interessante no ecossistema Bitcoin. Eles não são totalmente sem confiança como a camada base do Bitcoin, mas também não são puramente centralizados. O compromisso é velocidade e funcionalidade em troca da confiança em um conjunto conhecido de validadores.
Se 11 dos 15 funcionários puderem ser comprometidos ou se o sistema PAK puder ser contornado, as suposições de segurança que sustentam o Liquid precisam ser seriamente reexaminadas. O modelo de federação funciona apenas se a própria federação for segura, e US$ 320 milhões acabaram de sair pela porta.
Para detentores de bitcoin que usam o Liquid para transações mais rápidas, transferências confidenciais ou acesso a ativos nativos do Liquid, a preocupação imediata é prática: os reservas restantes estão seguras? Sem transparência da Blockstream, essa pergunta permanece no ar.