В сайдчейне Liquid от Blockstream выявили аномалию на 4 000 BTC стоимостью около $320 млн

По данным CoinDesk, биткоин-сайдчейн Liquid от Blockstream приостановлен с воскресенья. Из кошелька федерации, который обеспечивает находящиеся в обращении LBTC, было выведено около 4 000 BTC (примерно $320 млн по цене, указанной в материале). После инцидента мостовые узлы отключили. Вывод, как утверждается, прошёл через стандартную процедуру погашения. Liquid и участник федерации SideSwap сообщают, что в 14:05 UTC клиент отправил на SideSwap 4 000 LBTC. Затем эти токены были уничтожены при наличии корректной авторизации, а спустя 23 минуты федеративный кошелёк осуществил выплату примерно 3 996 BTC. Liquid заявила, что отток средств произошёл через ключ авторизации peg-out SideSwap, при этом ни этот ключ, ни какие-либо другие ключи федерации не были скомпрометированы. SideSwap также настаивает, что взлома системы не было, а причина связана с уязвимостью в ПО Elements, на котором работает Liquid. При этом Blockstream пока публично не раскрыла детали уязвимости; вместе с тем базовое ПО Liquid получило соответствующее исправление пять недель назад. Судя по раскрытым данным, биткоины из пользовательских кошельков принудительно не изымались: сначала были созданы LBTC без фактического обеспечения биткоином, после чего их обменяли на BTC через внешне легитимный процесс погашения. Баланс федеративного кошелька снизился примерно до 200 BTC. До инцидента на нём находилось около 4 200 BTC; после — около 200 BTC, то есть порядка 5% от прежнего уровня. Аномальный отток оценивается примерно в 4 000 BTC, разница по времени расчёта составила около 23 минут. Согласно таймлайну, опубликованному Самсоном Моу, бывшим руководителем направления безопасности Blockstream, связанный адрес сейчас содержит около 3 998,5 BTC. Сообщение в сети от лица "white hat" Инициатор перевода оставил onchain-сообщение: "Мы white hats; пожалуйста, свяжитесь с нами onchain". После этого Blockstream ответила на e-mail, указанный в сообщении, и стороны, как утверждается, продолжили общение через PGP-подписанные сообщения, встроенные в биткоин-транзакции. CTO Ledger Шарль Гийемэ изначально усомнился в корректности определения "white hat", отметив, что настоящие "white hats" не стали бы сначала выводить средства из моста, а затем просить связаться onchain. Он также указал, что часть так называемых "white hats" теперь отказывается возвращать средства до устранения уязвимостей. Другие активы не затронуты По текущим данным, прочие активы в Liquid, включая USDT, DePix и токенизированные реальные активы, не пострадали. Биткоин-мейннет также остаётся без изменений. Это указывает на то, что эффект инцидента сосредоточен на механизмах мостов и отображения активов в Liquid, а не на сети Bitcoin как таковой.