Liquid wraca po ataku, ale bez transakcji

Liquid uruchamia sie ponownie, ale ostroznie

Liquid Network wznawia prace po powaznym incydencie bezpieczenstwa, ktory pozwolil napastnikom stworzyc okolo 4 000 L-BTC bez odpowiedniego pokrycia w Bitcoinie. Siec ponownie produkuje bloki, ale to jeszcze nie oznacza pelnego powrotu do normalnego dzialania.

Na tym etapie transakcje uzytkownikow nadal sa wstrzymane, podobnie jak operacje peg, czyli zamiana BTC na L-BTC i odwrotnie. Operatorzy najpierw chca potwierdzic, ze infrastruktura dziala stabilnie i bez kolejnych zagrozen.

Co dokladnie sie stalo

Problem dotyczył Elements, open source'owego oprogramowania, na ktorym opiera sie Liquid. Luka zwiazana byla z mechanizmem cache wykorzystywanym do weryfikacji range proofs. Wedlug opisu ataku, napastnicy wykorzystali blad, aby wytworzyc tokeny L-BTC, ktore nie mialy odpowiedniego pokrycia w rezerwie.

Skutek byl powazny: z portfela federacji Liquid zniknelo okolo 95% posiadanych BTC. W praktyce oznaczalo to, ze model, w ktorym kazdy L-BTC powinien byc wsparty jednym BTC, zostal czasowo naruszony.

Aktualizacja Elements i stopniowy powrot

Aby usunac podatnosc, deweloperzy opublikowali Elements v23.3.4. Najwazniejsza zmiana dotyczy wlasnie sposobu obslugi cache dla range proofs. Zabezpieczono uzywane klucze, a dodatkowo pojawila sie mozliwosc calkowitego wylaczenia tego cache.

Nastepnie Liquid zaczal aktualizacje wezlow. Najpierw wznowiono produkcje blokow, a dopiero pozniej maja zostac przywrocone transakcje i kolejne funkcje sieci.

Czesc srodkow wrocila, ale luka nadal jest

Po ataku do portfela Liquid wrocilo okolo 3 400 BTC. To wiekszosc srodkow zabranych podczas exploitu, ale nadal brakuje mniej wiecej 598 BTC, czyli kwoty wartej wowczas okolo 46 mln dolarow.

Wlasnie ten brak sprawia, ze siec nie moze jeszcze przywrocic pelnej funkcjonalnosci. Dopoki rezerwa nie zostanie odzyskana i sprawdzona, operacje peg pozostaja zawieszone.

Blockstream odrzuca zadanie okupu

Blockstream, firma zwiazana z Liquid Network, jasno dala do zrozumienia, ze nie zaplaci okupu za zwrot brakujacych bitcoinow. W jej ocenie nie byla to uczciwa “white-hat” aktywnosc, lecz kradziez.

Spolka zapowiedziala, ze jesli pozostale BTC nie wroca dobrowolnie, wykorzysta wszystkie dostepne srodki prawne. Jednoczesnie podkreslila, ze nie chce tworzyc precedensu, w ktorym autorzy open source’owego oprogramowania mieliby byc zmuszani do placenia wielomilionowych okupow.

Dlaczego to wazne dla rynku

Incydent na Liquid pokazuje, ze nawet projekty oparte na sprawdzonym kodzie moga zostac zatrzymane przez jeden blad w oprogramowaniu. W przypadku sieci, ktora opiera sie na pelnym pokryciu L-BTC przez BTC, taki atak uderza nie tylko w infrastrukture, ale tez w zaufanie uzytkownikow.

Na razie Liquid jest wiec w fazie kontrolowanego odwrotu do normalnosci: bloki juz powstaja, poprawka zostala wdrozona, ale przed siecia wciaz najtrudniejszy etap — przywrocenie pelnej funkcjonalnosci i domkniecie sprawy brakujacych bitcoinow.