Mạng Liquid khôi phục giao dịch trong khi hacker vẫn giữ 600 BTC

Sidechain Liquid của Blockstream đã tiếp tục sản xuất block vào thứ Năm, khoảng bốn ngày sau khi một người tự xưng là hacker mũ trắng đã rút gần 4.000 BTC từ ví liên kết của mạng lưới này rồi trả lại phần lớn số tiền đó. Việc khởi động lại này liên quan trực tiếp đến bất kỳ ai nắm giữ Liquid Bitcoin (L-BTC) hoặc stablecoin trên mạng lưới.

Các khoản tiền đã bị đóng băng kể từ Chủ nhật, và khoảng 600 BTC vẫn còn trong tay kẻ tấn công đang tạo ra một lỗ hổng trong quỹ dự trữ bảo chứng cho các token đó.

Khóa peg-out của SideSwap đã được sử dụng nhưng không bị lấy cắp

Các node bridge và node chức năng của Liquid hiện đã chạy bản vá phần mềm cần thiết. Các node chức năng đang ký và xác thực block đúng như yêu cầu.

Các hoạt động peg hiện đang bị tạm dừng trong lúc mạng lưới khôi phục lại quỹ dự trữ BTC-to-L-BTC.

Mọi chuyện bắt đầu vào Chủ nhật, ngày 6 tháng 9, khi các hacker tự nhận là mũ trắng đã rút khoảng 4.000 BTC, trị giá khoảng 320 triệu đô la, từ ví Liquid Federation. Số này chiếm khoảng 95% số dư khoảng 4.200 coin của ví.

Blockstream sau đó cho biết sự cố này xuất phát từ một lỗ hổng trong Elements, phần mềm mã nguồn mở nền tảng của Liquid, giúp cho việc tạo ra L-BTC không hợp lệ và quy đổi thông qua đường thông thường như thể nó đã được bảo chứng đầy đủ.

Nhóm đã phát hành bản vá khẩn cấp, Elements v23.3.4, một ngày trước khi khởi động lại, nhằm tăng bảo mật cho các cache key dùng chứng minh phạm vi để bịt lỗ hổng xác minh bằng chứng liên quan đến vụ trộm.

Adam Back cam kết peg nhưng không đưa ra thời hạn

Sau khi Blockstream ký thông báo on-chain với nội dung “Các node bridge đã được vá, an toàn để trả lại tiền”, các đối tượng liên quan đã trả lại 3.400 BTC, tức khoảng 269,2 triệu đô la theo tỷ giá ngày 7 tháng 9. Như vậy còn lại khoảng 598,5 BTC bị thất thoát, tương đương 46 triệu đến 47 triệu đô la dựa trên giá hiện tại.

Ngày 9 tháng 9, hacker ẩn danh đã công khai chỉ trích chi tiêu của Blockstream, cáo buộc công ty chỉ dành khoảng 1,5 triệu đô la để bảo vệ 5 tỷ đô la tài sản.

“Sự thiếu trách nhiệm của các bạn là quá rõ ràng,” hacker này viết, cảnh báo số coin còn lại sẽ không được hoàn trả trừ khi thưởng bug bounty 10%.

“Các bạn PHẢI trả 10% bằng tiền của mình dưới dạng bug bounty, nếu không các bạn sẽ khiến tất cả holder chịu tổn thất 15% vì sự vô trách nhiệm và keo kiệt của mình,” đối tượng đe dọa nói thêm.

Nhà sáng lập kiêm CEO Blockstream, Adam Back, trấn an holder rằng peg L-BTC sẽ luôn bảo đảm tỷ lệ 1:1, nghĩa là người dùng có thể quy đổi token lấy chính xác số lượng Bitcoin tương ứng trên mạng lưới gốc.

Ông không cho biết sẽ bù đắp số thiếu hụt ~600 BTC ra sao khi mở lại peg-out, cũng như không đưa ra kế hoạch cụ thể để khôi phục dịch vụ peg-in và peg-out.