Liquid Network-hackare träder fram offentligt: Kräver hittelön på 10 procent från Blockstream

Hackarna som tömde Blockstreams Liquid Network på cirka 320 miljoner dollar i Bitcoin ↘ 1.73% den 6 september har trappat upp sina krav. De har gått från krypterade meddelanden till offentliga ultimatum i klartext på Bitcoins blockkedja, och kräver nu en hittelön på 10 procent som ska betalas från företagets egna medel.

Sårbarheten utnyttjas

Attacken utnyttjade en bugg i cachelagringen för verifiering av range-proofs i programvaran Elements, den öppna källkod som ligger till grund för sidokedjan Liquid, enligt blockkedjesäkerhetsföretaget Chainalysis. Sårbarheten gjorde det möjligt för angriparna att skapa obackade L-BTC-tokens som systemet godtog som giltiga, för att sedan konvertera dem till riktiga bitcoin via SideSwaps peg-out-tjänst. Ungefär 4 000 BTC, vilket motsvarar cirka 95 procent av federationens plånboksreserver, togs ut i en enda transaktion, rapporterar Reuters.reuters+3

Inga federationsnycklar komprometterades. Liquid Network använder en multisig-modell där 11 av 15 signaturer krävs, och själva multisig-lösningen höll. Felet låg i den bakomliggande valideringsprogramvaran. SideSwap, vars automatiserade system behandlade uttaget utan kontroller av storlek eller transaktionshastighet, tog på sig ansvaret för hur ett fel på Liquid-nivån ledde till en förlust på huvudkedjan, och betalade tillbaka sin avgift på cirka 4 BTC till federationen.cryptobriefing+1

Delvis återbetalning och dödläge

Efter att Blockstream åtgärdat sårbarheten och uppdaterat sina noder lämnade angriparna tillbaka 3 400 BTC, men behöll 598,5 BTC, värda cirka 47 miljoner dollar, som en självutnämnd belöning. De två parterna förhandlade till en början via PGP-krypterade OP_RETURN-meddelanden på Bitcoins blockkedja. Men samtalen verkar ha strandat: hackarna skickade ett meddelande i klartext med endast två tecken, ":(", innan de meddelade att alla framtida meddelanden skulle vara okrypterade.therecord+2

I sitt offentliga ultimatum anklagade de Blockstream för att ha avsatt så lite som 1,5 miljoner dollar för att säkra tillgångar värda 5 miljarder dollar. "Ni SKA betala 10 procent av era egna pengar i hittelön, annars kommer ni att orsaka alla era innehavare en förlust på 15 procent på grund av er oansvarighet och snålhet", skrev angriparna i en Bitcoin-transaktion. Siffran på 10 procent antyder att de är villiga att skicka tillbaka ytterligare medel och behålla cirka 32 miljoner dollar istället för nuvarande 47 miljoner dollar.gizmodo

Kritik från branschen

Försöket att framställa agerandet som en "white-hat"-insats har mött hård kritik. Ledgers teknikchef Charles Guillemet kallade kravet för "ren utpressning" och menade att ett ansvarsfullt avslöjande av sårbarheten hade inneburit att kontakta Blockstreams säkerhetsteam privat, så att nätverket kunde pausas och uppdateras innan några medel flyttades. Bitcoin Core-utvecklaren Greg Sanders avfärdade hackarnas klagomål på Blockstreams utgifter: "Att råna en fin bank, försöka behålla en tvåsiffrig procentsats och anklaga andra för girighet. Visst, kompis".gizmodo

Blockstream har släppt en akut säkerhetsuppdatering, Elements v23.3.4, och meddelat att funktionärsnoderna håller på att uppdateras. Återställningsplanen innebär att blockproduktionen återupptas med frysta peg-funktioner, att verifierade transaktioner körs igen, och att peg-funktionerna sedan startas om när nätverkets status har återställts. Företaget varnade för att bedragare redan utger sig för att representera Liquid och uppmanade användare att betrakta alla oväntade kontaktförsök, webbplatser för att "kräva L-BTC" och förfrågningar om återställningsfraser som bedrägerier.gizmodo