Liquid ağında Elements yazılımındaki bir açığın ardından cüzdandan çekilen yaklaşık 4.000 bitcoinin 3.400 adedi geri gönderildi. Ancak 598,5 bitcoin hâlâ iade edilmedi ve işlemin geri kalanına ne olduğu netleşmiş değil.
Olay, Bitcoin yan zinciri Liquid’i etkiledi. Ağda bulunan L-BTC varlığını destekleyen gerçek bitcoin rezervleri hedef alındı ve bu nedenle Liquid üzerindeki köprü işlemleri duraklatıldı. Kullanıcılar, L-BTC’yi yeniden ana Bitcoin ağına çeviremiyor.
7 Eylül saat 16:09 UTC’de yapılan işlemle 3.400 bitcoin, Liquid Federation adresine aktarıldı. Bu tutar, saldırıda alındığı belirtilen miktarın yaklaşık yüzde 85’ine karşılık geliyor. Federation, L-BTC’yi teminatlandıran bitcoinleri tutan operatör grubunu ifade ediyor.
Kalan 598,5 bitcoin ise ayrı bir ödeme olarak görünmüyor. Blok zinciri verilerine göre bu miktar, aynı işlemin “para üstü” niteliğindeki kısmı olarak, fonların çıktığı adrese geri döndü. mempool.space üzerindeki kayıtlarda bu miktar 8 Eylül itibarıyla hâlâ duruyordu.
Blockstream ve Liquid Network tarafı, bu bitcoinlerin bir anlaşmanın parçası olup olmadığına ilişkin kamuya açık bir açıklama yapmadı. Blockstream, Liquid için altyapı sağlayan şirket olarak olay bildiriminde, kendilerini “white hat” olarak tanımlayan saldırganların federation cüzdanından yaklaşık 4.000 bitcoin aldığını ve o sıradaki değerin yaklaşık 320 milyon dolar olduğunu yazdı.
The Block’un aktardığına göre bu çekim, Liquid’in bildirdiği yaklaşık 4.200 bitcoinlik rezervin yüzde 95’ini boşalttı. 8 Eylül’de bitcoin fiyatı yaklaşık 78.000 dolar seviyesindeyken geri dönen 3.400 bitcoinin piyasa değeri yaklaşık 265 milyon dolar, iade edilmeyen 598,5 bitcoinin değeri ise yaklaşık 47 milyon dolar hesaplandı.
İşlemi başlatan anahtarlar değil, Elements açığı hedef alındı
Çekim işlemi SideSwap’in Peg-out Authorization Key’i üzerinden gönderildi. Blockstream, bu anahtarın da dahil olmak üzere herhangi bir anahtarın ele geçirilmediğini söyledi. Şirkete göre sorun, anahtarlarda değil, Liquid üzerinde çalışan Elements yazılımındaki bir hatada ortaya çıktı.
Peg-out işlemi, yan zincirdeki L-BTC’yi yakarak karşılığındaki bitcoinin ana Bitcoin zincirinde serbest bırakılmasını sağlıyor. SideSwap, Unchained’in aktardığına göre, bu çekimde kullanılan L-BTC’nin Elements içindeki bir hatadan üretildiğini belirtti. Şirket ayrıca kendi sistemlerinin ve anahtarlarının etkilenmediğini vurguladı.
Liquid, olayı duyururken hatanın teknik ayrıntısını paylaşmadı. Blockstream’in olay sayfasında da açıkla ilgili bir tanım yer almadı. Buna karşın iki taraf arasında konuşma doğrudan Bitcoin blok zinciri üzerinde sürdü.
Erken bir işlem mesajına “we are whitehats. contact us on chain” ifadesi yazıldı. The Block’un haberine göre grup, karşılığında hatanın düzeltilmesini ve tüm düğümlerin yamalanmasını istedi. Blockstream ise imzalı bir mesajla köprü düğümlerinin yamalandığını ve fonların iade için güvende olduğunu bildirdi.
7 Eylül saat 15:31 UTC’de doğrulanan bir işlem, federation adresine 1.000 satoshi, yani 0,00001 bitcoin ile birlikte PGP ile şifrelenmiş bir mesaj gönderdi. Mesajın içeriği kamuya açık değil. 38 dakika sonra 3.400 bitcoinlik transfer onaylandı.
Blockstream, güncellenmiş yazılımın devreye alındığını ve federation üyelerinin koordineli bir yeniden başlatma için hazırlandığını açıkladı. JAN3 CEO’su ve eski Blockstream yöneticisi Samson Mow, iade edilmeyen miktarı yaklaşık 598 bitcoin olarak verdi ve şirketin grupla temasını sürdürdüğünü söyledi.
8 Eylül itibarıyla Blockstream’in durum sayfası olayı hâlâ aktif gösteriyordu; kamuya açık bridge node’lar kapalıydı ve iade bilgisini içerecek şekilde güncellenmemişti. Sayfada, şu anda L-BTC’yi kaç bitcoinin desteklediğine dair rakam da yer almıyordu.
Mow, yeniden başlatma doğrulanana kadar kullanıcıların Liquid’in peg-in adreslerine bitcoin göndermemesi gerektiğini belirtti. Blockstream ise Liquid üzerinde çıkarılan USDT ve DePix dahil diğer varlıkların etkilenmediğini bildirdi.
Herkes “white hat” tanımını kabul etmiyor. Ledger’ın teknik direktörü Charles Guillemet, Unchained’in aktardığına göre bu etiketi reddetti. Guillemet, blok zinciri üzerindeki şifreli mesajlar üzerinden pazarlık edilerek elde tutulan yaklaşık 600 bitcoinin bir ödül gibi görünmediğini, daha çok gasp izlenimi verdiğini söyledi.