Liquid Network-ის ჰაკერები საჯარო მოთხოვნაზე გადავიდნენ: Blockstream-ისგან 10%-იან ჯილდოს ითხოვენ

ჰაკერებმა, რომლებმაც 6 სექტემბერს Blockstream-ის Liquid Network-იდან დაახლოებით 320 მილიონი დოლარის ღირებულების ბიტკოინი ↗ 0.13% მოიპარეს, თავიანთი მოთხოვნები გაამკაცრეს. მათ დაშიფრული შეტყობინებებიდან ბიტკოინის ბლოკჩეინზე საჯარო ულტიმატუმებზე გადაინაცვლეს და კომპანიის საკუთარი სახსრებიდან 10%-იანი ჯილდოს გადახდას ითხოვენ.

როგორ მოხდა თავდასხმა

ბლოკჩეინ უსაფრთხოების კომპანია Chainalysis-ის თანახმად, თავდასხმამ გამოიყენა დიაპაზონის დადასტურების ქეშის (range-proof verification cache) ხარვეზი Elements-ის პროგრამულ უზრუნველყოფაში, რომელიც წარმოადგენს Liquid-ის საიდჩეინის საფუძვლად არსებულ ღია კოდს. ამ ხარვეზმა თავდამსხმელებს საშუალება მისცა შეექმნათ უზრუნველყოფის არმქონე L-BTC ტოკენები, რომლებსაც სისტემა ვალიდურად მიიჩნევდა, შემდეგ კი ისინი რეალურ ბიტკოინებად გადაექციათ SideSwap-ის peg-out სერვისის მეშვეობით. Reuters-ის ინფორმაციით, ერთ ტრანზაქციაში გატანილ იქნა დაახლოებით 4 000 BTC, რაც ფედერაციის საფულის რეზერვების თითქმის 95%-ს შეადგენს.reuters+3

ფედერაციის გასაღებები არ კომპრომეტირებულა. Liquid Network მუშაობს 11-დან 15 მულტისინგატურის (multisig) მოდელზე და თავად მულტისინგატურამ გაუძლო შეტევას: შეცდომა დაფიქსირდა ვალიდაციის პროგრამულ უზრუნველყოფაში. SideSwap-მა, რომლის ავტომატიზებულმა სისტემამაც დაამუშავა თანხის გატანა მოცულობისა თუ სიხშირის შემოწმების გარეშე, აიღო პასუხისმგებლობა იმაზე, თუ როგორ გადაიზარდა Liquid-ის დონის ხარვეზი ძირითადი ქსელის დანაკარგში და ფედერაციას დაუბრუნა თავისი საკომისიო, დაახლოებით 4 BTC.cryptobriefing+1

ნაწილობრივი დაბრუნება და დაპირისპირება

მას შემდეგ, რაც Blockstream-მა აღმოფხვრა ხარვეზი და განაახლა თავისი კვანძები (nodes), თავდამსხმელებმა 3 400 BTC დააბრუნეს, თუმცა დაიტოვეს 598.5 BTC, რომლის ღირებულებაც დაახლოებით 47 მილიონი დოლარია, როგორც თვითნებურად დაწესებული ჯილდო. მხარეები თავდაპირველად აწარმოებდნენ მოლაპარაკებებს ბიტკოინის ბლოკჩეინზე PGP-დაშიფრული OP_RETURN შეტყობინებების მეშვეობით. თუმცა, მოლაპარაკებები ჩიხში შევიდა: ჰაკერებმა გამოაგზავნეს ორსიმბოლოიანი დაუშიფრავი შეტყობინება „:(“, რის შემდეგაც განაცხადეს, რომ ყველა მომავალი შეტყობინება დაუშიფრავი იქნებოდა.therecord+2

თავიანთ საჯარო ულტიმატუმში მათ დაადანაშაულეს Blockstream იმაში, რომ კომპანიამ 5 მილიარდი დოლარის აქტივების დასაცავად მხოლოდ 1.5 მილიონი დოლარი გამოყო. „თქვენ უნდა გადაიხადოთ 10% თქვენი საკუთარი ფულიდან, როგორც ხარვეზის აღმოჩენის ჯილდო, წინააღმდეგ შემთხვევაში თქვენი უპასუხისმგებლობისა და სიძუნწის გამო ყველა თქვენს მფლობელს 15%-იან ზარალს მიაყენებთ“, წერენ თავდამსხმელები ბიტკოინის ტრანზაქციაში. 10%-იანი მოთხოვნა მიუთითებს იმაზე, რომ ისინი მზად არიან დააბრუნონ დამატებითი თანხა და დაიტოვონ დაახლოებით 32 მილიონი დოლარი ამჟამინდელი 47 მილიონის ნაცვლად.gizmodo

ინდუსტრიის რეაქცია

თავდამსხმელების მცდელობამ, თავი „ეთიკურ ჰაკერებად“ (white-hat) წარმოეჩინათ, მკაცრი კრიტიკა გამოიწვია. Ledger-ის ტექნოლოგიურმა დირექტორმა შარლ გილმემ ამ მოთხოვნას „პირდაპირი გამოძალვა“ უწოდა და აღნიშნა, რომ პასუხისმგებლიანი გამჟღავნება გულისხმობს Blockstream-ის უსაფრთხოების გუნდთან კონფიდენციალურ დაკავშირებას, რათა ქსელი შეჩერებულიყო და განახლებულიყო მანამ, სანამ თანხები გადაირიცხებოდა. Bitcoin Core-ის დეველოპერმა გრეგ სანდერსმა უარყო ჰაკერების პრეტენზიები Blockstream-ის ხარჯებთან დაკავშირებით: „გაძარცვო ძვირადღირებული ბანკი, შეეცადო ორნიშნა პროცენტის შენარჩუნებას და სხვებს სიხარბეში დასდო ბრალი. კარგი, მეგობარო“.gizmodo

Blockstream-მა გამოუშვა Elements v23.3.4-ის გადაუდებელი განახლება და განაცხადა, რომ ფუნქციონალური კვანძები ახლდება. მისი აღდგენის გეგმა ითვალისწინებს ბლოკების წარმოების განახლებას გაყინული peg-ოპერაციებით, დადასტურებული ტრანზაქციების ხელახლა გაშვებას და შემდეგ peg-ოპერაციების გადატვირთვას ქსელის მდგომარეობის აღდგენისთანავე. კომპანიამ გააფრთხილა მომხმარებლები, რომ თაღლითები უკვე ცდილობენ Liquid-ის სახელით მოქმედებას და მოუწოდა მათ, თაღლითობად მიიჩნიონ ნებისმიერი დაუკავშირებელი შეტყობინება, „L-BTC-ის მოთხოვნის“ საიტები და აღდგენის ფრაზის (recovery phrase) მოთხოვნები.gizmodo