Liquid Network-hackere går offentlig ut: Krever 10 prosent i dusør fra Blockstream

Hackere som tømte Blockstreams Liquid Network for rundt 320 millioner dollar i Bitcoin ↘ 1.73% den 6. september, har trappet opp kravene sine. De har gått over fra krypterte meldinger til offentlige ultimatum i klartekst på Bitcoin-blokkjeden, og krever en dusør på 10 prosent betalt fra selskapets egne midler.

Angrepet

Angrepet utnyttet en feil i hurtigbufferen for verifisering av intervallbevis (range-proof) i Elements-programvaren, den åpne kildekoden som ligger til grunn for Liquid-sidekjeden, ifølge blokkjedesikkerhetsselskapet Chainalysis. Sårbarheten gjorde det mulig for angriperne å opprette udekket L-BTC-tokens som systemet godtok som gyldige, for deretter å veksle dem inn i ekte bitcoin via SideSwaps peg-out-tjeneste. Rundt 4 000 BTC, omtrent 95 prosent av føderasjonslommebokens reserver, ble tatt ut i én enkelt transaksjon, rapporterer Reuters.reuters+3

Ingen føderasjonsnøkler ble kompromittert. Liquid Network opererer med en 11-av-15-multisignaturmodell, og selve multisignaturen holdt stand. Svikten lå i valideringsprogramvaren lenger opp i kjeden. SideSwap, hvis automatiserte system behandlet uttaket uten sjekk av beløpsstørrelse eller transaksjonshastighet, tok på seg ansvaret for at en feil på Liquid-laget førte til et tap på hovedkjeden, og returnerte sitt gebyr på rundt 4 BTC til føderasjonen.cryptobriefing+1

Delvis retur, deretter fastlåst situasjon

Etter at Blockstream tettet sårbarheten og oppdaterte nodene sine, returnerte angriperne 3 400 BTC, men beholdt 598,5 BTC, verdt rundt 47 millioner dollar, som en selvutnevnt belønning. De to partene forhandlet i starten via PGP-krypterte OP_RETURN-meldinger på Bitcoin-blokkjeden. Men samtalene surnet tilsynelatende: Hackerne sendte en melding i klartekst bestående av to tegn, «:(», før de kunngjorde at alle fremtidige meldinger ville være ukrypterte.therecord+2

I sitt offentlige ultimatum anklaget de Blockstream for å ha satt av så lite som 1,5 millioner dollar til å sikre verdier for 5 milliarder dollar. «Dere SKAL betale 10 % av egne midler som feilsøkingsdusør, ellers vil dere påføre alle eierne deres et tap på 15 % på grunn av deres uansvarlighet og gjerrighet», skrev angriperne i en Bitcoin-transaksjon. Kravet på 10 prosent innebærer at de er villige til å sende tilbake ytterligere midler, slik at de beholder rundt 32 millioner dollar i stedet for de nåværende 47 millioner dollarene.gizmodo

Reaksjoner fra bransjen

Forsøket på å fremstille handlingen som en «white-hat»-aksjon har høstet skarp kritikk. Ledgers teknologidirektør Charles Guillemet kaller kravet «ren utpressing», og argumenterer med at en ansvarlig avsløring ville innebære å kontakte Blockstreams sikkerhetsteam privat, slik at nettverket kunne stanses og feilen rettes før noen midler ble flyttet. Bitcoin Core-bidragsyter Greg Sanders avfeide hackernes klager på Blockstreams pengebruk: «Rane en fasjonabel bank, prøve å beholde en tosifret prosentandel og anklage andre for grådighet. Jada, kompis».gizmodo

Blockstream har sendt ut en nødretting (Elements v23.3.4) og opplyser at funksjonærnodene blir oppdatert. Gjenopprettingsplanen går ut på å gjenoppta blokkproduksjonen med frosne peg-operasjoner, kjøre verifiserte transaksjoner på nytt, og deretter starte utvekslingene igjen når nettverkstilstanden er gjenopprettet. Selskapet advarer om at svindlere allerede utgir seg for å være Liquid, og oppfordrer brukere til å behandle uoppfordret kontakt, nettsteder for å «hente L-BTC» og forespørsler om gjenopprettingsfraser som svindel.gizmodo