Was genau ist passiert?
Am 6. September wurde eine Schwachstelle im Liquid Network ausgenutzt, das von der Firma Blockstream betrieben wird. Liquid ist eine sogenannte Sidechain oberhalb von Bitcoin, in der L-BTC (Liquid Bitcoin) ein Token ist, der im Verhältnis 1:1 durch echte Bitcoins gedeckt sein soll.
Laut der Beschreibung von CryptoSlate ermöglichte der Fehler dem Angreifer, rund 4.000 ungedeckte L-BTC zu erzeugen und über den Dienst SideSwap etwa 3.996 echte BTC abzuziehen. Mit anderen Worten: Der Angreifer stellte Tokens ohne Deckung her und tauschte sie gegen echte Bitcoins.
Nachdem Blockstream einen Fix auf den betroffenen Knoten (Nodes) eingespielt hatte, kehrte ein Teil der Mittel zurück.
Wie viel Geld wurde zurückgegeben und wie viel fehlt?
Liquid informierte laut The Defiant am 8. September, dass der Angreifer 3.400 BTC zurückgegeben habe und dass zu diesem Zeitpunkt noch etwa 598,5 BTC ausstehend blieben.
| Position | Menge BTC | Quelle |
|---|---|---|
| Schätzung der ursprünglich abgezogenen Mittel | ~3.996 BTC | CryptoSlate |
| Vom Angreifer zurückgegeben | 3.400 BTC | The Defiant, Incrypted |
| Verbleibt ausstehend | ~598,5 BTC | The Defiant, Decrypt |
Der Wert der verbleibenden Summe unterscheidet sich in den einzelnen Quellen leicht je nach Kurs zum Zeitpunkt des Verfassens: Decrypt nennt rund 47 Millionen Dollar, CryptoSlate spricht von rund 50 Millionen Dollar. Es handelt sich um eine Schätzung, die sich mit dem Bitcoin-Preis verändert.
Was fordert der Angreifer?
Laut CryptoSlate forderte der Angreifer, nachdem er 3.400 BTC zurückgegeben hatte, eine „Belohnung“ (Bounty) in Höhe von 10 %, die Blockstream aus eigenen Mitteln zahlen sollte. Zugleich soll er gewarnt haben, dass andernfalls die Inhaber einen Verlust in Höhe von rund 15 % tragen könnten.
Es geht also um einen Streit darüber, ob für die teilweise Rückgabe entwendeter Mittel eine Belohnung ausgezahlt werden soll und wer diese tragen müsste.
Wie reagierte Blockstream?
Blockstream erklärte am 11. September in seiner Stellungnahme im Netzwerk X, dass es kein Lösegeld zahlen werde. Das Unternehmen bezeichnete laut Incrypted und Decrypt das Verhalten als Diebstahl, nicht als verantwortungsvolle Meldung einer Schwachstelle.
Sinngemäß übersetzt (Incrypted): Das Erlangen von Vermögenswerten ohne Erlaubnis und die Weigerung, sie zurückzugeben, ist eine Straftat, kein Responsible Disclosure, und keine Tätigkeit vom Typ White Hat. Der Begriff „White Hat“ bezeichnet dabei einen Sicherheitsforscher, der einen Fehler meldet und die Mittel zurückgibt, typischerweise im Austausch gegen eine im Voraus vereinbarte Belohnung.
Decrypt ergänzt, dass Blockstream sich an die Strafverfolgungsbehörden wenden will, falls die Mittel nicht zurückgegeben werden.
Warum ist das wichtig?
Der Streit ist ein Beispiel für eine breitere Debatte in der Kryptowelt: Wie soll sich die Branche gegenüber Angreifern verhalten, die einen Teil der Mittel zurückgeben und für den Rest eine „Belohnung“ beanspruchen. Blockstream wählt eine harte Linie und rahmt die ganze Sache als Diebstahl ein, nicht als Verhandlung über eine Bug Bounty.
Was bleibt ungewiss?
Aus den verfügbaren Quellen geht bislang nicht hervor, ob und wie Strafanzeigen erstattet wurden, ob der Angreifer identifiziert ist, noch ob es zu einer weiteren Rückgabe der Mittel kommt. Ebenso ist nicht bestätigt, welcher genaue Verlust gegebenenfalls die Inhaber von L-BTC treffen würde. Dies sind Punkte, die man bei ähnlichen Fällen im Auge behalten sollte.