Co się właściwie stało?
Z portfela federacyjnego sieci Liquid Network, bitcoinowego sidechainu prowadzonego przez firmę Blockstream, wyszło około 4 000 BTC o wartości w przybliżeniu 320 milionów dolarów. Według serwisu Kryptomagazín.cz oraz polskich mediów Incrypted i CrypS.pl chodziło o około 95 % rezerw bitcoinowych projektu.
Sidechain to samodzielna sieć blockchainowa połączona z Bitcoinem, do której bitcoiny są "blokowane", a po drugiej stronie emitowana jest ich reprezentacja (na Liquidzie tzw. L-BTC). O bezpieczeństwo takiej sieci dba federacja, czyli grupa podmiotów zarządzających kluczami do wspólnego portfela.
Po incydencie Liquid, według źródeł, wstrzymał działanie sieci i poinformował giełdy.
Kto za tym stoi?
Strona, która obecnie kontroluje środki, sama określiła się mianem white hats, czyli etycznych hakerów, którzy szukają luk w celu ich ujawnienia i naprawy. Według serwisu Incrypted zadeklarowała gotowość zwrotu środków po usunięciu błędu. Serwis Decrypt podaje, że Blockstream i napastnicy komunikują się ze sobą za pośrednictwem podpisanych PGP wiadomości umieszczanych bezpośrednio w transakcjach bitcoinowych.
Tutaj wskazana jest ostrożność. Określenie "white hat" wybrali sobie sami uczestnicy incydentu. Czy rzeczywiście chodzi o etycznych hakerów i czy zwrócą środki, na ten moment nie jest udowodnione.
Czy był to błąd kluczy, czy błąd kodu?
To jest sedno tej historii. Według serwisu Incrypted incydent rzekomo wiąże się z błędem konsensusu w oprogramowaniu Elements, które jest open-source'ową podstawą, na której działa Liquid, a nie z kompromitacją kluczy federacji. Różnica jest istotna:
| Scenariusz | Co by to oznaczało |
|---|---|
| Błąd w kodzie (Elements) | Słabość w regułach sieci, którą można wykorzystać nawet bez zdobycia kluczy prywatnych |
| Kompromitacja kluczy federacji | Napastnik zdobył dostęp do kluczy podpisujących strażników portfela |
Na razie publicznie komunikowana jest wersja o błędzie w Elements, ale szczegółowa analiza techniczna w cytowanych źródłach jest niedostępna.
Dlaczego powinno to zainteresować czytelników w Europie Środkowej?
Liquid nie jest lokalnym czeskim projektem, ale ta historia rezonuje również tutaj: incydent jako pierwszy z czeskich mediów wychwycił Kryptomagazín.cz, równolegle z polskimi serwisami Incrypted i CrypS.pl. Pokazuje powtarzający się wzorzec, który warto obserwować przy każdym sidechainie lub moście (bridge): koncentracja wartości w jednym portfelu federacyjnym oznacza, że pojedynczy błąd w konsensusie może zagrozić ogromnej większości zabezpieczenia.
Co w podobnych przypadkach ogólnie warto śledzić: czy zespół opublikuje post-mortem (analizę techniczną przyczyny), czy dojdzie do rzeczywistego zwrotu środków oraz jak zostanie rozwiązana kwestia rekompensaty dla posiadaczy L-BTC. To wszystko na razie pozostaje otwarte.
Co jest potwierdzone, a co nie
Potwierdzone jest, że z portfela wyszło około 4 000 BTC i że Liquid wstrzymał działanie. Motywacja uczestników, dokładna przyczyna techniczna oraz to, czy środki zostaną zwrócone, na razie nie są potwierdzone. Tę informację będziemy mogli później zweryfikować w oparciu o to, co rzeczywiście się stanie.