Боковая цепочка Liquid, принадлежащая Blockstream, приостановила работу с воскресенья. Из федерального кошелька, обеспечивающего обращение L-BTC, было извлечено около 4000 BTC, что по оценкам цены в статье составляет примерно 320 миллионов долларов США; после инцидента мостовые узлы были отключены.
Средства выводятся по стандартному пути выкупа
Согласно информации от Liquid и федерального участника SideSwap, клиент отправил 4000 L-BTC в 14:05 UTC на SideSwap. Затем эти токены были уничтожены при действующем разрешении, и через 23 минуты федеральный кошелек произвел выплату примерно 3996 BTC.
Liquid заявила, что средства были выведены через авторизационный ключ SideSwap для peg-out, однако этот ключ, а также другие федеральные ключи не были скомпрометированы. SideSwap также утверждает, что ее система не подвергалась взлому, и возлагает вину на уязвимость в программном обеспечении Elements, используемом Liquid.
В отчете говорится, что Blockstream еще не раскрыла подробности уязвимости. Однако соответствующие исправления были внесены в базовое программное обеспечение Liquid пять недель назад. Согласно текущей информации, никто не взломал кошельки и не перевел биткоины; вместо этого сначала были созданы L-BTC без поддержки биткоинами, а затем они были обменены на BTC через кажущийся нормальным процесс выкупа.
Баланс федерального кошелька снизился до примерно 200 BTC
Перед инцидентом соответствующий федеральный кошелек содержал около 4200 BTC. После инцидента баланс снизился до примерно 200 BTC, что составляет около 5% от предыдущего уровня.
- Объем аномального оттока: около 4000 BTC
- Баланс кошелька после события: около 200 BTC
- Разница во времени выплаты средств: около 23 минут
Хронология, опубликованная бывшим руководителем безопасности Blockstream Самсоном Мовом, показывает, что соответствующий адрес в настоящее время содержит примерно 3998,5 BTC.
Оставил сообщение в блокчейне, представившись белой шляпой
Сторона, переводящая средства, оставила сообщение в блокчейне: «Мы белые шляпы, свяжитесь с нами в блокчейне». Затем Blockstream ответил через указанный в блокчейне адрес электронной почты, и после этого, как утверждается, обе стороны продолжили общение с помощью сообщений с PGP-подписями в биткоин-транзакциях.
Лидер технологического направления Ledger Чарльз Гильеме сначала выразил скептицизм по поводу термина «белая шляпа», считая, что настоящие белые шляпы не будут сначала извлекать средства из моста, а затем требовать связи в цепочке. Позже он добавил, что сегодня некоторые так называемые белые шляпы отказываются возвращать средства до устранения уязвимости.
Другие активы пока не затронуты
По текущей информации, другие активы на Liquid, включая USDT, DePix и токенизированные активы реального мира, не затронуты. Сама сеть Bitcoin также не пострадала.
Это означает, что влияние события сосредоточено в основном на мостах и механизмах сопоставления активов сторонней цепочки Liquid, а не на самой сети Bitcoin.