Сеть Liquid фактически остановилась после того, как почти 320 миллионов долларов в биткоинах были выведены из резерва федерации посредством аномального стейк-аута.
Инцидент начался 6 сентября, когда клиент отправил 4000 L-BTC в сервис стейк-аута SideSwap, который конвертирует биткоины, представленные в сети Liquid, обратно в BTC в основной сети.
SideSwap сообщил, что запрос прошел обычный процесс авторизации и побудил Федерацию Liquid выпустить около 3996 BTC. Позже биткоины были переведены на адрес, на котором, по последним данным, находилось примерно 3998,5 BTC.
После вывода средств Liquid отключила свои мостовые узлы, а SideSwap приостановил свопы, стейк-ины и стейк-ауты. Биржи также приостановили или готовились приостановить депозиты и выводы L-BTC, пока операторы расследовали инцидент.
Стороны, контролирующие биткоины, впоследствии идентифицировали себя через сообщения в блокчейне как «whitehats» и заявили, что намерены вернуть большую часть средств после исправления базового бага в сети.
Такая перспектива может ограничить конечные финансовые потери. Однако это не решает более важный вопрос о том, как почти 4000 BTC покинули федерацию без явного компрометирования ключей.
Вывод, по-видимому, соответствовал правилам
Liquid и SideSwap заявляют, что инцидент не связан с кражей учетных данных для подписи.
При выводе средств использовался действительный ключ авторизации стейк-аута (PAK) SideSwap, и Liquid заявила, что ни этот ключ, ни другие ключи федерации не были скомпрометированы.
Вместо этого SideSwap сообщил, что Blockstream отследил 4000 L-BTC, представленных для погашения, до ошибки в Elements — программном обеспечении, лежащем в основе Liquid.
Если это объяснение подтвердится, проблема возникла до подписания транзакции с биткоинами.
Liquid спроектирована так, чтобы поддерживать один BTC в резерве федерации на каждый L-BTC в обращении. Во время обычного стейк-аута L-BTC сжигается, а эквивалентное количество биткоинов высвобождается.
В данном случае, по словам SideSwap, программный сбой создал L-BTC без соответствующего обеспечения биткоинами. Эти токены тем не менее прошли через действительный процесс стейк-аута, после чего функционеры федерации сочли вывод средств законным и выпустили реальные BTC.
Фирма по безопасности блокчейна Bitslab сообщила, что транзакцию подписали как минимум 11 из 15 функционеров Liquid.
Это указывает на иной тип сбоя, чем обычная эксплуатация моста. Безопасные ключи обеспечивают ограниченную защиту, если всем подписантам представлено одно и то же недействительное состояние, и они принимают его как законное.
Независимого технического анализа или подробного описания исправления на момент последней проверки опубликовано не было, что оставляет точную причину за объяснениями Liquid и SideSwap.
Whitehats хотят исправить баг до возврата биткоинов
Тем временем стороны, владеющие средствами, общались с Blockstream через транзакции Bitcoin с сообщениями OP_RETURN.
Глава отдела исследований Galaxy Digital Алекс Торн сообщил, что Blockstream сначала отправил сообщение с просьбой к держателю связаться с их командой безопасности. Позже держатель ответил, что планирует вернуть «большую часть» биткоинов федерации.
В последующем сообщении было добавлено условие: Blockstream должен сначала исправить баг и убедиться, что все узлы обновлены, прежде чем возвращать средства.
Это ставит следующие шаги Liquid за рамки простого восстановления биткоинов.
Федерация должна выявить и устранить недостаток в Elements, распространить исправление на затронутые узлы и убедиться, что другая партия недействительных L-BTC не пройдет через тот же процесс авторизации.
Ей также придется провести сверку резерва.
Предположительно созданные с помощью бага L-BTC были сожжены во время стейк-аута, но около 3996 реальных BTC все же покинули кошелек федерации Liquid. Пока эти средства не вернутся или учет не будет восстановлен иным образом, сеть должна продемонстрировать, что легитимные находящиеся в обращении L-BTC по-прежнему обеспечены один к одному.
Мостовые узлы Liquid остаются отключенными, пока эта работа продолжается.
Хотя инцидент в конечном итоге может закончиться восстановлением большей части биткоинов, более сложной задачей является доказательство того, что система, авторизовавшая их выпуск, не сможет повторить ту же ошибку дважды.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Oluwapelumi Adejumo
