Liquid Network melanjutkan transaksi sementara hacker tetap menyimpan 600 BTC

Sidechain Liquid milik Blockstream kembali memproduksi blok pada hari Kamis, sekitar empat hari setelah seseorang yang mengaku sebagai white hat hacker menguras hampir 4.000 BTC dari dompet federasi dan kemudian mengembalikan sebagian besar dana tersebut. Restart ini penting bagi siapa pun yang memiliki Liquid Bitcoin (L-BTC) atau stablecoin di jaringan tersebut.

Dana telah ditangguhkan sejak hari Minggu, dan sekitar 600 BTC yang masih di tangan pelaku serangan menjadi kekurangan dalam cadangan yang mendukung token-token tersebut.

Kunci peg-out SideSwap digunakan tetapi tidak pernah dicuri

Node bridge dan functionary milik Liquid kini sudah menjalankan patch perangkat lunak yang diperlukan secara live. Node functionary menandatangani dan memvalidasi blok seperti yang seharusnya.

Operasi peg dimatikan sementara jaringan membangun kembali cadangan BTC ke L-BTC mereka.

Semuanya bermula pada hari Minggu, 6 September, ketika para peretas yang mengaku sebagai white hat menarik sekitar 4.000 BTC, senilai sekitar $320 juta, dari dompet Liquid Federation. Jumlah tersebut merupakan sekitar 95% dari saldo dompet yang berisi sekitar 4.200 coin.

Blockstream kemudian menyatakan masalah ini disebabkan oleh cacat pada Elements, perangkat lunak open-source yang menjadi dasar Liquid, yang memungkinkan terciptanya L-BTC tidak valid dan penebusannya melalui jalur normal seakan-akan sepenuhnya didukung cadangan.

Tim meluncurkan perbaikan darurat, Elements v23.3.4, satu hari sebelum restart, memperkuat cache keys yang digunakan untuk range proofs guna menutup kerentanan verifikasi proof yang berkaitan dengan pencurian tersebut.

Adam Back menjanjikan peg tapi tanpa batas waktu

Setelah Blockstream menandatangani catatan on-chain bertuliskan, “Bridge nodes are patched, safe to return the funds,” pelaku mengembalikan 3.400 BTC, sekitar $269,2 juta pada nilai tukar 7 September. Masih ada sekitar 598,5 BTC yang belum dikembalikan, sekitar $46 juta hingga $47 juta tergantung harga saat ini.

Pada 9 September, hacker anonim tersebut secara terbuka mengkritik pengeluaran Blockstream, mengklaim bahwa perusahaan hanya mengalokasikan $1,5 juta untuk melindungi aset senilai $5 miliar.

“Kelalaian tugasmu jelas,” tulis hacker itu, memperingatkan bahwa sisa coin tidak akan dikembalikan kecuali bug bounty 10% dibayarkan.

“Anda HARUS membayar 10% dengan dana pribadi Anda sebagai bug bounty atau Anda akan menyebabkan semua holder Anda kehilangan 15% akibat ketidakbertanggungjawaban dan sifat pelit Anda,” tambah pelaku ancaman tersebut.

Pendiri dan CEO Blockstream Adam Back meyakinkan para holder bahwa peg L-BTC akan dihormati satu banding satu, yang berarti pengguna dapat menebus token mereka dengan jumlah Bitcoin yang sama pada layer dasar.

Ia tidak menjelaskan bagaimana kekurangan ~600 BTC itu akan ditutupi ketika peg-out dibuka kembali atau memberikan batas waktu untuk memulihkan layanan peg-in dan peg-out.