Liquid Network cho biết, sau sự cố hack vào tháng 9, LBTC của họ đã được hỗ trợ đầy đủ bởi bitcoin, nhưng việc rút tiền trực tiếp vẫn bị hạn chế.
Liquid Federation xác nhận trong một tuyên bố vào thứ Ba rằng dự trữ "đã được khôi phục hoàn toàn và tái lập hỗ trợ 1:1 BTC cho tất cả LBTC".
Trước khi thông báo này được công bố, ví của Liên bang Dự trữ đã nhận được nhiều giao dịch chuyển Bitcoin, trong đó có khoản gửi cuối cùng 250 BTC vào ngày 2 tháng 11. Các bản ghi trên chuỗi cho thấy, khi khoảng trống được lấp đầy, khoảng 4.268,95 BTC đã hỗ trợ lượng LBTC tương đương.
Liquid Network đã bù đắp khoảng 600 BTC sau cuộc tấn công lỗ hổng
Việc khôi phục này xuất phát từ một cuộc tấn công vào phần mềm mã nguồn mở Elements được sử dụng bởi Liquid Network vào ngày 6 tháng 9.
Blockstream giải thích trong đánh giá sự cố bảo mật rằng một lỗ hổng trong xác thực giao dịch cho phép kẻ tấn công đúc khoảng 4.000 LBTC mà không cần nạp lượng bitcoin tương ứng.
Sau đó, kẻ tấn công đã đổi các đồng tiền này thành BTC thực tế thông qua SideSwap. SideSwap là một thành viên của liên đoàn, được ủy quyền xử lý việc rút tiền.
Do các giao dịch không được ủy quyền này, cùng với các khoản rút tiền khác được thực hiện trước khi hoạt động ngừng, dự trữ của Liquid đã giảm từ khoảng 4.205 BTC xuống còn 197 BTC.
Vào ngày 7 tháng 9, kẻ tấn công đã trả lại 3.400 BTC sau khi liên hệ với Blockstream thông qua thông tin ghi lại trên chuỗi Bitcoin.
Người liên quan tuyên bố là nhà nghiên cứu bảo mật dạng white-hat, nhưng danh tính và động cơ của họ chưa được xác minh độc lập.
Blockstream đã xác định số tiền còn lại chưa thu hồi trong đánh giá tháng 9 là khoảng 602 BTC.
Việc bù đắp dự trữ đã được đẩy nhanh vào cuối tháng 10, với việc gửi vào 2,5 BTC vào ngày 27 tháng 10 và thêm 50 BTC vào ngày hôm sau.
Ngày 2 tháng 11, hai giao dịch chuyển lớn hơn đã hoàn tất quá trình này, lần lượt bổ sung 300 BTC và 250 BTC vào ví liên bang.
Sau đó, SideSwap đã xác nhận chuỗi gửi tiền này và cho biết dự trữ đã được cân bằng với lượng LBTC đang lưu hành.
Tính đến ngày 3 tháng 11, dữ liệu cập nhật cho thấy 4.270,54 BTC được sử dụng để hỗ trợ lượng LBTC tương đương, phản ánh hoạt động bổ sung sau giai đoạn phục hồi ban đầu.
Ai đã bù lại lượng dự trữ Bitcoin cho Liquid Network?
Mặc dù hồ sơ trên chuỗi cho thấy các khoản gửi này, nhưng tuyên bố mới nhất của liên bang không nêu rõ cụ thể những bên nào đã cung cấp bitcoin thay thế.
This is important because returning stolen funds and providing new Bitcoin are two different recovery methods.
Trong số số lượng ban đầu bị rút đi, kẻ tấn công đã hoàn trả 3.400 BTC vào tháng 9. Khoảng thiếu hụt còn lại đã được bù đắp bởi các khoản gửi tiếp theo.
Theo báo cáo, thành viên hội đồng quản trị Liquid Federation, Samson Mow, đã chỉ ra Blockstream là nguồn vốn khi được hỏi về nguồn gốc tài chính.
“Như tôi đã nhiều lần nói, Blockstream,” Mow viết trong phản hồi câu hỏi trên X.
Tuy nhiên, liên bang chưa công bố chi tiết phân bổ nguồn vốn thay thế, cũng như không cho biết có thêm thành viên nào khác tham gia đóng góp hay không.
Trong tuyên bố ngày 3 tháng 11, SideSwap đã cảm ơn Blockstream và các thành viên liên bang vì đã hoàn thành việc khôi phục, nhưng không tiết lộ độc lập nguồn vốn.
Số dư đã được khôi phục cho thấy đã có đủ Bitcoin quay trở lại kho dự trữ. Tuy nhiên, điều này không đủ để xác định chủ sở hữu của ví đã cung cấp số tiền này.
Liquid Network đã khôi phục việc đổi tiền, nhưng việc rút tiền trực tiếp vẫn bị hạn chế
Cơ chế mà Liquid Network sử dụng là: khi gửi BTC vào chuỗi chính của Bitcoin, nó sẽ được biểu thị dưới dạng LBTC trên chuỗi phụ của nó.
Người dùng có thể chuyển LBTC bên trong Liquid, trong khi các thành viên liên bang được ủy quyền chịu trách nhiệm đổi lại thành BTC.
Sau khi lỗ hổng bị khai thác, liên bang đã tạm dừng rút tiền và tạm ngừng hoạt động mạng trong khi các nhà phát triển sửa lỗ hổng.
Theo báo cáo trước đó của crypto.news, Liquid đã khôi phục việc tạo khối vào tháng 9 và dần dần trở lại trạng thái giao dịch bình thường.
Sau đó, mạng lưới đã triển khai quy trình ủy quyền được cập nhật và bắt đầu tiến hành đánh giá bảo mật độc lập đối với Elements v23.3.4.
Theo kế hoạch phục hồi ngày 20 tháng 10, liên bang cho phép các bên tham gia khôi phục việc đổi BTC/LBTC, nhưng vẫn duy trì hạn chế đối với peg-out trực tiếp.
SideSwap cho biết dịch vụ đổi của họ đã được mở lại vào ngày 20 tháng 10, cho phép khách hàng đổi LBTC lấy BTC với tỷ giá 1:1, nhưng phải trả phí 0,1%.
Tuy nhiên, các khoản thanh toán này hiện đến từ ví Bitcoin của chính SideSwap, do đó cần nạp tiền thủ công.
Nhà cung cấp cảnh báo rằng việc rút tiền có thể bị đưa vào hàng đợi khi số dư Bitcoin khả dụng không đủ.
Việc peg-out trực tiếp vẫn bị ràng buộc bởi các yêu cầu bảo mật và vận hành bổ sung, và chưa xác định được ngày tái mở cửa.
Điều chỉnh quản trị chương trình liên bang và tăng cường bảo vệ
The federal government stated that, following this incident, it plans to modernize its governance structure and introduce clearer division of responsibilities and oversight mechanisms.
Kế hoạch của họ bao gồm các biện pháp bảo vệ kỹ thuật và vận hành bổ sung để ngăn chặn sự cố tương tự tái diễn.
Blockstream trước đây đã phát hành Elements v23.3.4 để vá lỗ hổng này và điều chỉnh quy trình xác thực giao dịch của phần mềm.
Liên bang liên tục cập nhật các sắp xếp ủy quyền được sử dụng bởi các thành viên khi xử lý rút tiền, bao gồm các quy trình liên quan đến khóa Bitcoin ngoại tuyến.
The November statement promised that more information about governance changes and security measures would be provided in the "coming weeks."