Súlyos szoftverhiba miatt történhetett meg a 320 milliós Bitcoin-rablás, amely azonnal megbénította a Blockstream által üzemeltetett oldalláncot. Az elkövetők azt állítják, hogy jóindulatúak. A ColdCard hack után ez az év legbizarrabb kriptotámadása.
A Bitcoin legrégebbi és legfontosabb oldallánca, a Blockstream által üzemeltetett Liquid Network szinte teljes vagyonát kiszivattyúzták egyetlen összetett akcióval. A példátlan biztonsági incidens során csaknem 320 millió dollár értékű Bitcoin tűnt el a rendszerből, miközben az elkövetők magukat „etikus hackernek” nevezve a blokkláncon keresztül próbálnak feltételeket szabni a fejlesztőknek.
Hogyan ürült ki a széf percek alatt?
Szeptember 6-án, alig néhány perc leforgása alatt következett be a 320 milliós Bitcoin-rablás, amely a Liquid Network történetének legsúlyosabb csapása. Egy ismeretlen felhasználó UTC szerint 14:05-kor indított el egy tranzakciót a SideSwap peg-out folyamatán keresztül, majd 14:28-kor a föderációs tárca kibocsátott 3 996 BTC-t a Bitcoin főhálózatára.
A hálózat tartalékai a másodpercek alatt omlottak össze. Az addigi nagyjából 4200 BTC-s fedezeti alapból mindössze 200 BTC-re zuhant a tárca egyenlege. Ez azt jelenti, hogy az L-BTC mögött álló Bitcoin-fedezet csaknem 95 százalékát csapolták le. A rendszer üzemeltetői azonnal reagáltak. A hídcsomópontokat (bridge nodes) leállították, a tőzsdéket pedig felszólították az L-BTC ki- és befizetések azonnali felfüggesztésére.
Nem kulcslopás, hanem súlyos szoftverhiba történt
A kriptoiparban megszokott híd-támadásokkal ellentétben – ahol általában az aláírókulcsokat (multisig) szerzik meg a hackerek – ebben az esetben teljesen más jellegű sérülékenység áll a háttérben. A Blockstream és a SideSwap gyors elemzése megállapította, hogy sem a SideSwap engedélyezési kulcsa (PAK), sem a föderáció tagjainak privát kulcsai nem kompromitálódtak.
153 millió amerikai és kanadai jogosítvány másolatát árulták a dark weben – Kripto Akadémia
A hiányzó fedezet mögött a Liquid alapját képező, Elements nyílt forráskódú szoftverben rejtőző konszenzusos hiba állt. A támadók kihasználták ezt a kódhibát, és új, fedezet nélküli L-BTC-ket hoztak létre a hálózaton, majd ezt az illegitim tokent törvényes úton váltották át valódi Bitcoinra. Mivel a tranzakció a hibás szabályok szerint érvényesnek tűnt, a föderációs szerverek automatikusan aláírták a kifizetést.
Baljós előjelek: mesterséges intelligencia és leállított átjárók
Az incidens időzítése különösen kellemetlen a Blockstream számára. A cég mindössze hetekkel ezelőtt gyorsította meg és indította el saját fejlesztésű, Blockstream Swaps névre keresztelt szolgáltatását, amely a Bitcoin főlánca, a Liquid és a Lightning hálózat közötti zökkenőmentes átjárást hivatott biztosítani.
A fejlesztést azért kellett sürgősen kibocsátani, mert augusztusban a piacvezető Boltz leállította saját hídrendszerét, miután megszaporodtak a mesterséges intelligenciával támogatott automatizált támadások és kihasználások a rendszerük ellen. A Blockstream mindössze két nappal a támadás előtt még arról számolt be, hogy a tesztelések kiválóan haladnak, és kiterjesztették a béta-hozzáférést a nagyközönség számára.
Etikus hackerek vagy zsarolók?
A lecsapolt több mint 3998 BTC (mintegy 320 millió dollár) szinte teljes egészét egyetlen Bitcoin-címre vonták össze és várakozik. Az elkövetők a tranzakcióba egy beágyazott on-chain üzenetet rejtettek: „we are whitehats. contact us on chain” (etikus hackerek vagyunk, lépjetek kapcsolatba velünk a láncon).
A Blockstream biztonsági csapata azonnal felvette a kesztyűt, és blokkláncon küldött üzenetekben megadta az elérhetőségeit. A magukat etikusnak nevező elkövetők egyértelmű feltételt szabtak a pénz visszautalására: „Javítsátok ki a hibát minden csomóponton, mert a lánc jelenleg veszélyben van. Miután megerősítettük a javítást, biztonságosan visszautaljuk a vagyont”. A Blockstream szinte azonnal rávágták: „Igen, köszönjük”.
Sokan azonban szkeptikusak a támadók szándékaival kapcsolatban. Charles Guillemet, a Ledger technológiai igazgatója élesen bírálta ezt a hozzáállást. Kiemelte, hogy a felelős sérülékenység-közzététel nem arról szól, hogy lecsapolják egy hálózat tartalmának 95 százalékát, majd utólag elkezdenek alkudozni. A szakértő szerint ez sokkal inkább zsarolásra és erődemonstrációra hasonlít, mintsem jóhiszemű hibakeresésre.
Mi lesz a felhasználók pénzével és az egyéb eszközökkel?
Jelenleg a Blockstream által üzemeltetett Liquid Network gyakorlatilag le van fagyasztva. Bár a hálózaton kibocsátott egyéb eszközök – mint a dollárhoz kötött USDT és egyéb RWA-k – közvetlenül nem sérültek és nem szenvedtek inflációs hibát, a hídcsomópontok leállítása miatt a tranzakciók feldolgozása szünetel.
DeFi-támadás miatt állították le a Crypto.comhoz kötődő Cronos blokkláncot – Kripto Akadémia
A piac megnyugtatására szolgál, hogy maga a Bitcoin alaphálózata és árfolyama teljesen érintetlen maradt. Az elkövetett hiba nem a Bitcoin protokollját, hanem egy ráépült másodlagos réteget érintett, így a BTC ára továbbra is stabilan tartja magát a 80 000 dolláros szint környékén. A lecsapolt vagyon egyelőre nem indult meg keverőszolgáltatások (mixer) vagy tőzsdék felé, ellentétben a korábbi nagy kriptorablásokkal.
A tanulság: a rétegek biztonsága nem magától értetődő
A Liquid esete éles figyelmeztetés a teljes kriptoipar számára: minél összetettebb okosszerződéseket és protokollrétegeket húzunk a Bitcoin alaprétege fölé, annál nagyobb a hibalehetőségek száma. A fedezet visszaállításának és a hálózat újraindításának feltétele most az, hogy a Blockstream és az elkövetők közötti blokklánc alkudozás sikeresen záruljon, és a kijavított kódot minden csomópontra telepítsék.
Szerinted valóban etikus hackerek állnak a támadás mögött, vagy csak zsarolásról van szó? Legyél Te is tag a Discord csatornánkon és vitassuk meg a legfrissebb gazdasági eseményeket. Kövesd Velünk online a szektor kriptopénzügyi híreit és elemzéseit, ahol naprakész hírfolyamunkban és jelentések szobánkban követheted a kriptovalutákkal és a világgazdasággal kapcsolatos eseményeket!
Nincs VIP tagság, nincs előfizetés, egységben az erő! Még több hírt és információt olvasnál? Iratkozz fel YouTube csatornánkra! Ha pedig segítőkész és informatív kripto közösségre vágysz, látogass el Discord csatornánk valamennyi szobájába.
/liquid, sideswap, blockstream, cryptoadventure, lookonchain, arkham/