TheBlock
Blockstream hat öffentlich abgelehnt, die 10% Bug-Bounty zu zahlen, die ein Angreifer im Austausch für die Rückgabe von 598,5 BTC, die am 8. September im Liquid Network gestohlen wurden, gefordert hat. Das Bitcoin-Infrastrukturunternehmen sagte dem Ausbeuter in einer Erklärung am Freitag: 'Geben Sie die Bitcoins zurück', und wies jegliche Einigung zurück und beschuldigte ihn des Diebstahls anstelle einer verantwortungsvollen Offenlegung.
Die Ausnutzung selbst resultierte aus einer Schwachstelle im Caching von Range-Proof-Verifizierungen in Elements, der zugrunde liegenden Software, die Liquid antreibt. Etwa 4.000 LBTC wurden ohne Deckung durch in Reserve gehaltenes BTC erstellt und dann über einen Standard-Peg-Out über SideSwap, ein Mitglied der Liquid Federation, in natives BTC umgewandelt.
Warum es wichtig ist
Blockstream stellte die Ablehnung in moralischen statt in kommerziellen Begriffen dar. Das Unternehmen erklärte, es 'wird nicht Teil des Präzedenzfalls sein', dass die Open-Source-Bitcoin-Infrastruktur Lösegeld für die Rückgabe gestohlener Eigentümer zahlen sollte, und bezeichnete die On-Chain-Forderung als Bug-Bounty, die von Entwicklern erpresst wurde, anstatt von einem zahlenden Kunden.
Der Ausbeuter hatte zuvor in einer OP_RETURN-Nachricht behauptet, Blockstream habe 'vielleicht 1,5 Millionen Dollar, vielleicht sogar 0' ausgegeben, um 5 Milliarden Dollar an Vermögenswerten zu sichern, und drohte mit einem Verlust von 15% für die Inhaber, wenn die Bounty nicht bezahlt werde. Diese Darstellung verwandelt den Streit in einen Test, wie das breitere Bitcoin-Entwickler-Ökosystem auf Sicherheitsoffenlegungen reagiert, die auch als Erpressung dienen.
Marktauswirkungen
Liquid nahm am 10. September die Blockproduktion und On-Chain-Transaktionen wieder auf, nachdem Elements v23.3.4 als Fix bereitgestellt wurde. Am 7. September wurden etwa 3.400 BTC zurückgegeben, nachdem der Ausbeuter zunächst einer früheren On-Chain-Anweisung gefolgt war, 'den Fehler zuerst zu beheben', bevor 'die meisten' der Mittel zurückgesendet würden.
Die verbleibenden 598,5 BTC befinden sich nun im Ungewissen, während Blockstream angibt, mit Strafverfolgungsbehörden, Börsen, Dienstleistern und forensischen Spezialisten zusammenzuarbeiten, um die Vermögenswerte zu verfolgen und zurückzuerlangen. Peg-Outs bleiben als Vorsichtsmaßnahme deaktiviert, während die endgültige Rückgewinnungsphase fortgesetzt wird, und die Nutzung eines legitimen Peg-Out-Weges durch die Ausnutzung bedeutet, dass die Mittel mobil und nachverfolgbar sind, anstatt in einer bekannten Wallet festzustecken.
Häufig gestellte Fragen
-
Wie viel BTC versucht Blockstream aus dem Liquid-Exploit zurückzuholen?
Blockstream strebt die Rückgabe von 598,5 BTC an. Etwa 3.400 BTC wurden am 7. September zurückgegeben, nachdem der Angreifer zunächst einer früheren On-Chain-Nachricht nachgekommen war, sodass etwa 598,5 BTC ausstehen.
-
Welche Schwachstelle verursachte den Liquid Network-Exploit?
Die Ausnutzung resultierte aus einem Fehler im Caching von Range-Proof-Verifizierungen innerhalb von Elements, der zugrunde liegenden Software, die Liquid antreibt. Etwa 4.000 ungesicherte LBTC wurden geprägt und dann über den Peg-Out-Weg von SideSwap in BTC umgewandelt.
-
Was forderte der Angreifer von Blockstream?
Der Angreifer forderte eine 10% Bug-Bounty und behauptete, Blockstream habe 'vielleicht 1,5 Millionen Dollar, vielleicht sogar 0' ausgegeben, um 5 Milliarden Dollar an Vermögenswerten zu sichern. Er drohte mit einem Verlust von 15% für die Inhaber, wenn die Bounty nicht bezahlt werde.
-
Ist das Liquid Network nach dem Exploit weiterhin betriebsbereit?
Liquid nahm am 10. September die Blockproduktion und On-Chain-Transaktionen wieder auf, nachdem Elements v23.3.4 bereitgestellt wurde. Peg-Outs bleiben als Vorsichtsmaßnahme deaktiviert, während die endgültigen Rückgewinnungsbemühungen fortgesetzt werden.
-
Warum lehnt Blockstream ab, das Lösegeld zu zahlen?
Blockstream sagt, dass eine Zahlung einen Präzedenzfall schaffen würde, dass die Open-Source-Bitcoin-Infrastruktur durch Bug-Bounty-Forderungen erpresst werden kann. Es hat die Forderungen der Ausbeuter als 'Diebstahl, nicht als weiße-Hut-Aktivität' bezeichnet und plant, mit Strafverfolgungsbehörden und forensischen…
CryptoSlate
CoinDesk
WuBlockchain