Co se vlastně stalo?
Z federační peněženky sítě Liquid Network, bitcoinového sidechainu provozovaného firmou Blockstream, odešlo zhruba 4 000 BTC v hodnotě přibližně 320 milionů dolarů. Podle serveru Kryptomagazín.cz i polských médií Incrypted a CrypS.pl šlo o zhruba 95 % bitcoinových rezerv projektu.
Sidechain je samostatná blockchainová síť napojená na Bitcoin, do které se bitcoiny „uzamknou" a na druhé straně se razí jejich zastoupení (na Liquidu tzv. L-BTC). O bezpečnost takové sítě se stará federace, tedy skupina subjektů spravujících klíče k společné peněžence.
Po incidentu Liquid podle zdrojů pozastavil provoz sítě a informoval burzy.
Kdo za tím stojí?
Strana, která nyní prostředky ovládá, se sama označila za white hats, tedy etické hackery, kteří hledají zranitelnosti s cílem je odhalit a opravit. Podle serveru Incrypted deklarovala připravenost prostředky vrátit poté, co bude chyba odstraněna. Server Decrypt uvádí, že Blockstream a útočníci spolu komunikují skrze PGP-podepsané zprávy vložené přímo do bitcoinových transakcí.
Zde je namístě opatrnost. Označení „white hat" si zvolili sami aktéři incidentu. Zda skutečně jde o etické hackery, a zda prostředky vrátí, není v tuto chvíli prokázané.
Byla to chyba klíčů, nebo chyba kódu?
Toto je jádro příběhu. Podle serveru Incrypted incident údajně souvisí s chybou konsensu v softwaru Elements, což je open-source základ, na němž Liquid běží, a nikoliv s kompromitací klíčů federace. Rozdíl je podstatný:
| Scénář | Co by to znamenalo |
|---|---|
| Chyba v kódu (Elements) | Slabina v pravidlech sítě, kterou lze zneužít i bez získání soukromých klíčů |
| Kompromitace klíčů federace | Útočník získal přístup k podpisovým klíčům strážců peněženky |
Zatím je veřejně komunikovaná verze o chybě v Elements, ale detailní technický rozbor v citovaných zdrojích chybí.
Proč by to mělo zajímat čtenáře ve střední Evropě?
Liquid není lokální český projekt, ale příběh rezonuje i tady: incident jako první z českých médií zachytil Kryptomagazín.cz, souběžně s polskými servery Incrypted a CrypS.pl. Ukazuje opakující se vzorec, který stojí za sledování u jakéhokoliv sidechainu nebo mostu (bridge): koncentrace hodnoty v jedné federační peněžence znamená, že jediná chyba v konsensu může ohrozit drtivou většinu zajištění.
Co u podobných případů obecně sledovat: zda tým zveřejní post-mortem (technický rozbor příčiny), zda dojde ke skutečnému vrácení prostředků, a jak se vyřeší kompenzace držitelů L-BTC. To vše zatím zůstává otevřené.
Co je potvrzené a co ne
Potvrzené je, že z peněženky odešlo kolem 4 000 BTC a že Liquid pozastavil provoz. Motivace aktérů, přesná technická příčina i to, zda budou prostředky vráceny, zatím potvrzené nejsou. Tuto zprávu budeme moci později ověřit proti tomu, co se skutečně stane.