cryptopolitan.com
Сеть Liquid Network смогла вернуть значительную часть Bitcoin ($BTC), изъятых из её федеративного кошелька в выходные дни. Однако это не снимает более серьёзную проблему. Проблема заключается в том, что привязка может произойти через ожидаемый путь авторизации, даже если L-$BTC, участвующие в транзакции, не должны были быть созданы.
В понедельник (7 сентября) группа, ответственная за вывод средств , вернула федерации 3400 $BTC , возместив около 85% потерянных денег. В результате транзакции у них осталось 598,5 $BTC. Для обеспечения единообразия во всех конвертациях в доллары в этой статье используется курс предоставленный CoinMarketCap, Bitcoin конвертации в доллары США, равный $79 001,61 (который был указан 7 сентября).
Действительная фиксация, которую, по словам федерации, она никогда не санкционировала
На первый взгляд, транзакция кажется обычной. SideSwap заявила , что в воскресенье в 14:05 UTC клиент перевел 4000 L-$BTC на свой сервис привязки. После предъявления действительного разрешения SideSwap на привязку, в 14:28:56 UTC с кошелька федерации стало доступно примерно 3996 $BTC.
Однако ключ авторизации не был украден. Liquid сообщила , что ключ авторизации SideSwap не использовался ненадлежащим образом. SideSwap также сообщила, что Blockstream позже установила, что причиной инцидента стал сбой в программном обеспечении Elements, который позволил сгенерировать недействительные L-$BTC. Таким образом, механизм привязки позволял пропускать некорректные токены, которые выглядели легитимными, даже несмотря на то, что у них не было обеспечения, которое должно было быть у L-$BTC.
Это отличает данный случай от обычных случаев компрометации ключей и переводит его в область проблем учета. Согласно техническому документу Liquid, L-$BTC defiкак Bitcoin , который попадает в сайдчейн с помощью так называемой двусторонней привязки, где некоторое количество $BTC, находящихся в руках федерации, используется для погашения монеты. И если L-$BTC попадает в сайдчейн некорректным образом через путь погашения, важность целостности резервов равна важности самих ключей авторизации.
Переговоры развернулись в сообщениях о транзакциях Bitcoin
Общение между Blockstream и злоумышленниками происходило посредством сообщений, встроенных в Bitcoin транзакции. Хронология событий, описанная Самсоном Моу, указывает на то, что злоумышленники призывали Blockstream устранить уязвимость прежде чем вернуть деньги.
Позже Blockstream разослал подписанное уведомление, в котором говорилось: «Узлы моста исправлены, средства можно возвращать». Злоумышленники подтвердили Blockstream конечный пункт назначения и вернули деньги в размере 3400 $BTC обратно в Liquid Federation в 16:09:25 UTC 7 сентября.
Почему пропавшие 598,5 $BTC не дают ответа на вопрос о резерве?
Возвращение 85% средств, безусловно, является большой победой, но это не решает проблем системы, которая полагается на прямое обеспечение. Примерно 598,5 $BTC остаются вне федерации, что составляет около 47,3 миллиона долларов по рыночной цене, рассчитанной в данном случае.
Согласно предыдущему отчету Cryptopolitan, одной из особенностей этого события было использование механизма авторизации привязки SideSwap, хотя на уровне ключей взлома не произошло. Bitcoin также функционировал должным образом. Проблема заключалась в вышестоящем уровне, где ложно созданные L-$BTC проходили через механизм погашения, направленный на высвобождение реальных $BTC.
Что должны вынести из этого события пользователи мостового Bitcoin : это было больше, чем просто кража закрытого ключа. Это показало, как программная ошибка может привести к тому, что запрос на погашение, выглядящий законным, будет отправлен без реальных резервов для его обеспечения. Даже если оставшиеся bitcoin будут возвращены, основная проблема остается: процесс привязки Liquid конвертирует реальные $BTC в L-$BTC, которые никогда не должны были считаться надлежащим обеспечением.