Liquid verliert fast 4.000 BTC durch Softwarefehler

Am 6. Sept. flossen fast 4.000 BTC durch eine von der Blockchain genehmigte Auszahlung aus der Reserve von Liquid ab, obwohl die zur Autorisierung verwendeten privaten Schlüssel nicht gestohlen worden waren. Die Rekonstruktion von TRM Labs zufolge nutzten die Angreifer einen Softwarefehler aus, um L-BTC zu erzeugen, ohne die entsprechende Menge Bitcoin einzuzahlen, und tauschten die nicht gedeckten Token anschließend gegen echte Coins. Bitquery stellte später fest, dass am 7. Sept. 3.400 BTC zurückgeführt wurden.

Warum das wichtig ist

Liquid verwahrt Bitcoin in einer gemeinsamen Reserve, während Nutzer L-BTC auf einer separaten Blockchain erhalten. Wenn die Software falsche Angaben zur Tokenmenge oder zur Reserve akzeptiert, können gültige Signaturen eine ungültige Auszahlung autorisieren. Der Vorfall zeigt, dass die Sicherheit der Schlüssel eine Angriffsklasse verhindert, aber nicht verhindern kann, dass vertrauenswürdige Systeme die falsche Transaktion genehmigen.

Die finanzielle Verantwortung ist weniger eindeutig als der technische Fehler. Eine Versicherung kann die Verluste eines Unternehmens durch digitale Vermögenswerte, Infrastrukturangriffe oder Ansprüche im Zusammenhang mit Softwarefehlern abdecken. Eine Police schützt jedoch möglicherweise das Unternehmen, statt direkt den Kontostand jedes Kunden zu garantieren. Coinbase erklärt beispielsweise, dass seine Vertrauensschadenversicherung einen Teil der digitalen Vermögenswerte abdeckt, und warnt, dass die Gesamtverluste die Erstattungen übersteigen können.

Auswirkungen auf den Markt

Das Defizit in der Reserve lenkt den Fokus auf die Deckung von L-BTC, die Bedingungen für die Rückzahlung und die Frage, wer eine mögliche Lücke zwischen den Verpflichtungen gegenüber Kunden und den Versicherungserlösen finanziert. Die zurückgeführten Coins verringern den noch benötigten Betrag zur Wiederherstellung der Reserve. Aus dem Transaktionsprotokoll geht jedoch nicht hervor, wer den Kunden den verbleibenden Betrag schuldet.

Auch die Rückzahlungsbedingungen sind entscheidend. Einem Kunden, dem ein fester Dollarbetrag zugesagt wurde, könnte weniger Bitcoin ausgezahlt werden, wenn der Preis des Vermögenswerts vor der Zahlung steigt. Anbieter müssen klar festlegen, ob der Schutz den Ersatz in Coins, eine Abrechnung in Dollar oder nur eine begrenzte Erstattung bedeutet und wie ein vorübergehender Zugangsverlust behandelt wird.