Blockstream, компания, разработавшая сайдчейн Liquid для биткоина, ведёт переговоры с ответственными за взлом сети об возврате оставшихся 598,5 BTC (примерно 47 миллионов долларов). Из примерно 4000 украденных биткойнов злоумышленники вернули 3400, оставив невозвращённым около 15% средств.
Взлом произошёл из-за ошибки в коде Elements, лежащем в основе Liquid. Уязвимость позволила создавать необеспеченные токены L-BTC, которые затем обменивались на резервные биткойны. Злоумышленники использовали сервис вывода SideSwap — члена Liquid Federation — чтобы обналичить украденное. Проверка транзакций на уровне протокола не заметила подделку токенов.
Что нарушилось
Резерв сайдчейна упал с 4205 BTC до 197 BTC. Сеть была остановлена, чтобы предотвратить дальнейший ущерб. Разработчики Liquid уточнили, что приватные ключи не скомпрометированы и федерация узлов работала корректно — ошибка была в валидации самих токенов.
Авторы атаки представились белыми хакерами и оставили сообщение в блокчейне биткоина. Однако некоторые эксперты сомневаются в их истинных намерениях. Главный технолог Ledger Чарльз Гийеме назвал ситуацию скорее вымогательством: «Если это была согласованная награда за найденную уязвимость, то удержание 600 BTC выглядит как попытка выручить больше денег».
Восстановление
Blockstream готовит экстренное обновление, которое пока проходит проверку. После его выпуска сетевые операторы внесут дополнительные корректировки для восстановления нормальной работы и отката недействительного вывода средств. Официально объявлено, что главные приоритеты — вернуть оставшиеся средства и безопасно возобновить работу сети. Сроки восстановления не названы.