Cosa è successo davvero?
Dal wallet della federazione della rete Liquid Network, la sidechain di Bitcoin gestita dalla società Blockstream, sono usciti circa 4.000 BTC del valore di circa 320 milioni di dollari. Secondo il portale Kryptomagazín.cz e i media polacchi Incrypted e CrypS.pl si è trattato di circa il 95% delle riserve in bitcoin del progetto.
Una sidechain è una rete blockchain autonoma collegata a Bitcoin, in cui i bitcoin vengono "bloccati" e dall'altro lato viene coniata una loro rappresentazione (su Liquid i cosiddetti L-BTC). Della sicurezza di una rete di questo tipo si occupa la federazione, ovvero un gruppo di soggetti che gestiscono le chiavi del wallet condiviso.
Dopo l'incidente Liquid, secondo le fonti, ha sospeso l'operatività della rete e ha informato gli exchange.
Chi c'è dietro?
La parte che ora controlla i fondi si è autodefinita white hats, cioè hacker etici che cercano vulnerabilità con l'obiettivo di individuarle e correggerle. Secondo il portale Incrypted, ha dichiarato la disponibilità a restituire i fondi una volta risolto il bug. Il portale Decrypt riferisce che Blockstream e gli attaccanti comunicano tra loro tramite messaggi firmati con PGP inseriti direttamente nelle transazioni bitcoin.
Qui è opportuna prudenza. La definizione "white hat" è stata scelta dagli stessi protagonisti dell'incidente. Se si tratti davvero di hacker etici, e se restituiranno i fondi, al momento non è dimostrato.
È stato un problema di chiavi o un bug nel codice?
Questo è il cuore della vicenda. Secondo il portale Incrypted l'incidente sarebbe legato a un bug di consenso nel software Elements, ovvero la base open source su cui gira Liquid, e non a una compromissione delle chiavi della federazione. La differenza è sostanziale:
| Scenario | Cosa significherebbe |
|---|---|
| Bug nel codice (Elements) | Una falla nelle regole della rete, sfruttabile anche senza ottenere le chiavi private |
| Compromissione delle chiavi della federazione | L'attaccante ha ottenuto accesso alle chiavi di firma dei custodi del wallet |
Per ora la versione comunicata pubblicamente è quella del bug in Elements, ma nelle fonti citate manca un'analisi tecnica dettagliata.
Perché dovrebbe interessare ai lettori dell'Europa centrale?
Liquid non è un progetto locale ceco, ma la vicenda ha eco anche qui: l'incidente è stato riportato per primo tra i media cechi da Kryptomagazín.cz, in parallelo ai portali polacchi Incrypted e CrypS.pl. Mostra uno schema ricorrente che vale la pena osservare in qualsiasi sidechain o bridge: la concentrazione del valore in un unico wallet della federazione significa che un singolo bug nel consenso può mettere a rischio la stragrande maggioranza delle garanzie.
Cosa monitorare in generale in casi simili: se il team pubblicherà un post-mortem (analisi tecnica della causa), se avverrà una reale restituzione dei fondi e come si risolverà la compensazione dei detentori di L-BTC. Tutto questo per ora resta aperto.
Cosa è confermato e cosa no
È confermato che dal wallet sono usciti circa 4.000 BTC e che Liquid ha sospeso l'operatività. La motivazione dei protagonisti, la causa tecnica esatta e se i fondi verranno restituiti non sono al momento confermati. Questa notizia potremo verificarla più avanti confrontandola con ciò che accadrà davvero.