Što se zapravo dogodilo?
Iz federacijskog novčanika mreže Liquid Network, bitcoin sidechaina koji vodi tvrtka Blockstream, otišlo je otprilike 4.000 BTC u vrijednosti od približno 320 milijuna dolara. Prema portalu Kryptomagazín.cz te poljskim medijima Incrypted i CrypS.pl radilo se o otprilike 95 % bitcoin rezervi projekta.
Sidechain je zasebna blockchain mreža povezana s Bitcoinom, u koju se bitcoini "zaključavaju", a na drugoj strani se kuje njihova reprezentacija (na Liquidu tzv. L-BTC). O sigurnost takve mreže brine se federacija, dakle skupina subjekata koja upravlja ključevima zajedničkog novčanika.
Nakon incidenta Liquid je prema izvorima obustavio rad mreže i obavijestio burze.
Tko stoji iza toga?
Strana koja sada kontrolira sredstva sama se opisala kao white hats, dakle etički hakeri koji traže ranjivosti s ciljem da ih otkriju i poprave. Prema portalu Incrypted izrazila je spremnost da vrati sredstva nakon što se pogreška ukloni. Portal Decrypt navodi da Blockstream i napadači međusobno komuniciraju putem PGP-potpisanih poruka umetnutih izravno u bitcoin transakcije.
Ovdje je na mjestu oprez. Oznaku "white hat" odabrali su sami akteri incidenta. Radi li se doista o etičkim hakerima i hoće li vratiti sredstva, u ovom trenutku nije dokazano.
Je li to bila pogreška ključeva ili pogreška koda?
Ovo je srž priče. Prema portalu Incrypted incident je navodno povezan s pogreškom konsenzusa u softveru Elements, što je open-source osnova na kojoj Liquid radi, a ne s kompromitacijom ključeva federacije. Razlika je bitna:
| Scenarij | Što bi to značilo |
|---|---|
| Pogreška u kodu (Elements) | Slabost u pravilima mreže koja se može zloupotrijebiti i bez dobivanja privatnih ključeva |
| Kompromitacija ključeva federacije | Napadač je dobio pristup potpisnim ključevima čuvara novčanika |
Zasad je javno iznesena verzija o pogrešci u Elementsu, ali detaljna tehnička analiza u citiranim izvorima nedostaje.
Zašto bi to trebalo zanimati čitatelje u srednjoj Europi?
Liquid nije lokalni češki projekt, ali priča odjekuje i ovdje: incident je od čeških medija prvi zabilježio Kryptomagazín.cz, usporedno s poljskim portalima Incrypted i CrypS.pl. Pokazuje ponavljajući obrazac koji vrijedi pratiti kod bilo kojeg sidechaina ili mosta (bridge): koncentracija vrijednosti u jednom federacijskom novčaniku znači da jedna pogreška u konsenzusu može ugroziti veliku većinu pokrića.
Što kod sličnih slučajeva općenito treba pratiti: hoće li tim objaviti post-mortem (tehničku analizu uzroka), hoće li doći do stvarnog povrata sredstava te kako će se riješiti kompenzacija imatelja L-BTC. Sve to zasad ostaje otvoreno.
Što je potvrđeno, a što nije
Potvrđeno je da je iz novčanika otišlo oko 4.000 BTC i da je Liquid obustavio rad. Motivacija aktera, točan tehnički uzrok te hoće li sredstva biti vraćena, zasad nisu potvrđeni. Ovu vijest moći ćemo kasnije provjeriti u odnosu na to što se stvarno dogodi.