Invasores tiram US$ 320 milhões em bitcoin da Liquid Network e prometem devolver
Sidechain usada por corretoras para mover bitcoin foi pausada depois que cerca de 4.000 dos 4.200 BTC da carteira da federação saíram por um erro de validação no código Elements; invasores dizem ser "white hats" e retiveram 598 BTC
Autoproclamados white-hats removem aproximadamente 4 mil BTC da carteira da federação Liquid e prometem devolver a maior parte após correção da vulnerabilidade.
Hackers drenaram aproximadamente US$ 320 milhões em Bitcoin da carteira de federação que sustenta a Liquid Network, enquanto afirmam ser os bons. A Liquid, uma sidechain do Bitcoin desenvolvida pela Blockstream e usada por corretoras e outras instituições financeiras, informou em um post no X no domingo que cerca de 4 mil BTC foram retirados de sua carteira de federação por aqueles que cautiosamente descreveu como “supostos white-hat hackers”.
A carteira continha cerca de 4.200 BTC antes do incidente, o que significa que quem estava por trás da exploração removeu aproximadamente 95% de suas reservas. A Liquid desativou seus nós-ponte enquanto os membros da federação investigam e pediu às corretoras para suspender depósitos e saques de L-BTC.
Os responsáveis pela retirada parecem estar interessados em estabelecer que isto não é um roubo de cripto padrão. Em uma mensagem incorporada em uma transação Bitcoin, se identificaram como “whitehats” e pediram à Blockstream para entrar em contato. A Blockstream respondeu on-chain com detalhes de contato para sua equipe de segurança, e a Liquid informou que as partes posteriormente moveram suas comunicações para canais criptografados.
Os responsáveis disseram que devolveriam “a maior parte” do Bitcoin uma vez que a vulnerabilidade fosse corrigida e os nós da Liquid tivessem sido atualizados. A mensagem on-chain dizia: “Por favor, corrija o bug primeiro. A cadeia está em risco no commit mais recente agora. Certifique-se de que cada nó está corrigido. Então transferiremos o dinheiro de volta com segurança após confirmar a correção.”
Exatamente como conseguiram mover quase toda a carteira de federação permanece sob investigação. A Liquid informou que o BTC foi retirado através do SideSwap usando sua Chave de Autorização de Peg-out, ou PAK, mas que nem a chave do SideSwap nem nenhuma outra PAK parecem ter sido comprometidas. As PAKs permitem que os funcionários da federação reconheçam destinos autorizados a receber peg-outs; os funcionários coletivamente liberam o Bitcoin correspondente.
Isto deixa a questão bastante importante de como um peg-out aparentemente autorizado do SideSwap conseguiu esvaziar quase toda a carteira de federação sem que a PAK relevante fosse comprometida. Outros ativos emitidos na Liquid, incluindo stablecoins, não parecem ter sido diretamente afetados, e a própria rede Bitcoin não foi tocada.
O incidente é outro lembrete de que adicionar Bitcoin a algo não lhe confere o modelo de segurança do Bitcoin. A Liquid é uma sidechain federada cujos membros gerenciam coletivamente o Bitcoin que respalda o L-BTC, em vez de contar com os mineradores do Bitcoin para proteger esses fundos. Por enquanto, esses fundos parecem estar nas mãos de pessoas que insistem estar conduzindo pesquisa de segurança. Se todos os 4 mil BTC eventualmente voltarem para casa pode determinar o quão generoso todos se sentirão sobre essa descrição.
Fonte: theregister.com.
