Čo sa vlastne stalo?
Z federačnej peňaženky siete Liquid Network, bitcoinového sidechainu prevádzkovaného firmou Blockstream, odišlo približne 4 000 BTC v hodnote zhruba 320 miliónov dolárov. Podľa serveru Kryptomagazín.cz aj poľských médií Incrypted a CrypS.pl išlo o približne 95 % bitcoinových rezerv projektu.
Sidechain je samostatná blockchainová sieť napojená na Bitcoin, do ktorej sa bitcoiny „uzamknú" a na druhej strane sa razí ich zastúpenie (na Liquide tzv. L-BTC). O bezpečnosť takejto siete sa stará federácia, teda skupina subjektov spravujúcich kľúče k spoločnej peňaženke.
Po incidente Liquid podľa zdrojov pozastavil prevádzku siete a informoval burzy.
Kto za tým stojí?
Strana, ktorá teraz prostriedky ovláda, sa sama označila za white hats, teda etických hackerov, ktorí hľadajú zraniteľnosti s cieľom odhaliť ich a opraviť. Podľa serveru Incrypted deklarovala pripravenosť prostriedky vrátiť potom, čo bude chyba odstránená. Server Decrypt uvádza, že Blockstream a útočníci spolu komunikujú cez PGP-podpísané správy vložené priamo do bitcoinových transakcií.
Tu je namieste opatrnosť. Označenie „white hat" si zvolili sami aktéri incidentu. Či skutočne ide o etických hackerov a či prostriedky vrátia, nie je v tejto chvíli preukázané.
Bola to chyba kľúčov, alebo chyba kódu?
Toto je jadro príbehu. Podľa serveru Incrypted incident údajne súvisí s chybou konsenzu v softvéri Elements, čo je open-source základ, na ktorom Liquid beží, a nie s kompromitáciou kľúčov federácie. Rozdiel je podstatný:
| Scenár | Čo by to znamenalo |
|---|---|
| Chyba v kóde (Elements) | Slabina v pravidlách siete, ktorú možno zneužiť aj bez získania súkromných kľúčov |
| Kompromitácia kľúčov federácie | Útočník získal prístup k podpisovým kľúčom strážcov peňaženky |
Zatiaľ je verejne komunikovaná verzia o chybe v Elements, ale detailný technický rozbor v citovaných zdrojoch chýba.
Prečo by to malo zaujímať čitateľov v strednej Európe?
Liquid nie je lokálny český projekt, ale príbeh rezonuje aj tu: incident ako prvý z českých médií zachytil Kryptomagazín.cz, súbežne s poľskými servermi Incrypted a CrypS.pl. Ukazuje opakujúci sa vzorec, ktorý stojí za sledovanie pri akomkoľvek sidechaine alebo moste (bridge): koncentrácia hodnoty v jednej federačnej peňaženke znamená, že jediná chyba v konsenze môže ohroziť drvivú väčšinu zabezpečenia.
Čo pri podobných prípadoch všeobecne sledovať: či tím zverejní post-mortem (technický rozbor príčiny), či dôjde k skutočnému vráteniu prostriedkov a ako sa vyrieši kompenzácia držiteľov L-BTC. To všetko zatiaľ zostáva otvorené.
Čo je potvrdené a čo nie
Potvrdené je, že z peňaženky odišlo okolo 4 000 BTC a že Liquid pozastavil prevádzku. Motivácia aktérov, presná technická príčina aj to, či budú prostriedky vrátené, zatiaľ potvrdené nie sú. Túto správu budeme môcť neskôr overiť oproti tomu, čo sa skutočne stane.