Liquid Network-ի հաքերները հրապարակայնորեն Blockstream-ից 10% պարգևավճար են պահանջում

Հաքերները, որոնք սեպտեմբերի 6-ին Blockstream-ի Liquid Network-ից գողացել էին շուրջ 320 միլիոն դոլար արժողությամբ Բիթքոյն ↗ 0.28%, խստացրել են իրենց պահանջները: Նրանք ծածկագրված հաղորդագրություններից անցել են բաց տեքստով հրապարակային վերջնագրերի Բիթքոյնի բլոկչեյնում և պնդում են, որ ընկերությունն իր սեփական միջոցներից վճարի 10% պարգևավճար:

Խոցելիության կիրառումը

Ըստ Chainalysis բլոկչեյն անվտանգության ընկերության, հարձակումն իրականացվել է Elements ծրագրային ապահովման մեջ տիրույթի ապացուցման ստուգման (range-proof verification) քեշի սխալի միջոցով, որը հանդիսանում է Liquid սայդչեյնի հիմքում ընկած բաց կոդով բազան: Խոցելիությունը թույլ է տվել հարձակվողներին թողարկել չապահովված L-BTC թոքեններ, որոնք համակարգն ընդունել է որպես վավեր, այնուհետև դրանք վերածել իրական բիթքոյնի SideSwap-ի peg-out ծառայության միջոցով: Շուրջ 4,000 BTC, որը կազմում է ֆեդերացիայի դրամապանակի պահուստների մոտ 95%-ը, դուրս է բերվել մեկ գործարքով, հայտնում է Reuters-ը:reuters+3

Ֆեդերացիայի ոչ մի բանալի չի տուժել: Liquid Network-ն աշխատում է 15-ից 11-ի բազմաստորագրության (multisig) մոդելով, և բազմաստորագրությունն ինքնին դիմակայել է. խնդիրը եղել է վավերացման ծրագրային ապահովման մեջ: SideSwap-ը, որի ավտոմատացված համակարգը մշակել էր միջոցների դուրսբերումը առանց չափի կամ արագության սահմանափակումների ստուգման, ստանձնել է պատասխանատվությունը Liquid մակարդակի սխալի պատճառով հիմնական ցանցում կորուստ առաջացնելու համար և ֆեդերացիային է վերադարձրել իր շուրջ 4 BTC միջնորդավճարը:cryptobriefing+1

Մասնակի վերադարձ և դիմակայություն

Այն բանից հետո, երբ Blockstream-ը վերացրեց խոցելիությունը և թարմացրեց իր հանգույցները (nodes), հարձակվողները վերադարձրին 3,400 BTC, սակայն պահեցին 598.5 BTC (մոտ 47 միլիոն դոլար արժողությամբ)՝ որպես ինքնակոչ պարգևատրում: Երկու կողմերը սկզբում բանակցում էին Բիթքոյնի բլոկչեյնում PGP-ծածկագրված OP_RETURN հաղորդագրությունների միջոցով: Սակայն բանակցությունները, կարծես, ձախողվեցին. հաքերներն ուղարկեցին երկու նիշից բաղկացած բաց տեքստով հաղորդագրություն՝ «:(», որից հետո հայտարարեցին, որ բոլոր հետագա հաղորդագրությունները կլինեն չծածկագրված:therecord+2

Իրենց հրապարակային վերջնագրում նրանք մեղադրել են Blockstream-ին 5 միլիարդ դոլարի ակտիվների անվտանգությունն ապահովելու համար ընդամենը 1.5 միլիոն դոլար հատկացնելու մեջ: «Դուք ՊԵՏՔ Է վճարեք 10% ձեր սեփական միջոցներից որպես սխալի հայտնաբերման պարգև (bug bounty), այլապես ձեր անպատասխանատվության և ժլատության պատճառով ձեր բոլոր տիրապետողներին կպատճառեք 15% կորուստ», գրել են հարձակվողները Բիթքոյնի գործարքի մեջ: 10% ցուցանիշը ենթադրում է, որ նրանք պատրաստ են հետ ուղարկել լրացուցիչ միջոցներ՝ պահելով մոտ 32 միլիոն դոլար՝ ներկայիս 47 միլիոն դոլարի փոխարեն:gizmodo

Ոլորտի արձագանքը

Իրենց որպես «սպիտակ գլխարկով» (white-hat) հաքերներ ներկայացնելու փորձը խիստ քննադատության է արժանացել: Ledger-ի տեխնիկական տնօրեն Շառլ Գիյոմեն այս պահանջն անվանել է «ուղղակի շորթում»՝ նշելով, որ պատասխանատու բացահայտումը կներառեր Blockstream-ի անվտանգության թիմի հետ անձնական կապ հաստատելը, որպեսզի ցանցը կասեցվեր և թարմացվեր նախքան որևէ միջոցների տեղաշարժը: Bitcoin Core-ի մշակող Գրեգ Սանդերսը հեգնանքով է մոտեցել Blockstream-ի ծախսերի վերաբերյալ հաքերների դժգոհություններին. «Թալանել շքեղ բանկը, փորձել պահել երկնիշ տոկոս և ուրիշներին մեղադրել ագահության մեջ: Լավ, ընկեր»:gizmodo

Blockstream-ը թողարկել է Elements v23.3.4 արտակարգ թարմացումը և հայտարարել, որ գործառնական հանգույցները թարմացվում են: Վերականգնման ծրագիրը նախատեսում է բլոկների արտադրության վերսկսում՝ սառեցված peg գործողություններով, վավերացված գործարքների կրկնակի կատարում, այնուհետև peg-երի վերագործարկում՝ ցանցի վիճակի վերականգնումից հետո: Ընկերությունը նախազգուշացրել է, որ խարդախներն արդեն ներկայանում են Liquid-ի անունից, և հորդորել է օգտատերերին կասկածանքով մոտենալ ցանկացած չպահանջված առաջարկի, «ստանալ L-BTC» կայքերին և վերականգնման արտահայտության (recovery phrase) հարցումներին՝ դրանք դիտարկելով որպես խարդախություն:gizmodo