Liquid krijgt 3.400 BTC terug, maar gat van 598 BTC blijft
3.400 BTC is terug in de wallet van de Liquid Federation. Toch ontbreekt na de aanval nog altijd ongeveer 598,5 BTC, goed voor bijna $47 miljoen.
Daarmee is circa 85% van de weggehaalde Bitcoin terug. Liquid blijft echter gepauzeerd terwijl Blockstream en andere federatieleden nieuwe beveiligingsmaatregelen doorvoeren en een splitsing van de chain proberen op te lossen.
De partij achter de aanval presenteert zichzelf als white hat. Of die kwalificatie standhoudt, is nog allesbehalve duidelijk zolang honderden BTC niet zijn teruggegeven.
3.400 BTC keert terug na berichten op Bitcoin
De teruggave volgde op een opmerkelijke onderhandeling via de Bitcoin-blockchain.
Blockstream en de vermeende white hats stuurden berichten via OP_RETURN-data in Bitcoin-transacties. Daarmee kan een kleine hoeveelheid aanvullende data aan een transactie worden toegevoegd.
De aanvallers wilden eerst zekerheid dat het lek was aangepakt.
Samson Mow, voormalig bestuurder bij Blockstream, reconstrueerde de communicatie op X. Blockstream meldde daarbij via een cryptografisch ondertekend bericht dat de bridge nodes waren gepatcht en dat de fondsen veilig konden worden teruggestuurd.
Niet lang daarna volgde de transactie.
Exact 3.400 BTC ging terug richting de federatiewallet. Ongeveer 598,5 BTC bleef achter bij het adres dat aan de aanval wordt gekoppeld.
Bijna volledige Bitcoinreserve werd eerder aangesproken
De schade had veel groter kunnen uitvallen.
Tijdens het incident werd ongeveer 4.000 BTC opgenomen uit een federatiewallet die daarvoor rond de 4.200 BTC bevatte. Daarmee werd bijna de volledige reserve aangesproken.
Liquid bevestigde na het incident dat de opname via de peg-out van SideSwap liep. De gebruikte Peg-out Authorization Key was volgens Liquid niet gecompromitteerd.
SideSwap gaf vervolgens meer technische details. Een klant stuurde 4.000 L-BTC naar zijn peg-outdienst, waarna de transactie met een geldige autorisatie werd verwerkt.
De Liquid Federation betaalde daarna ongeveer 3.996 BTC uit op het Bitcoin-netwerk. SideSwap verklaarde dat het probleem niet uit zijn eigen systemen kwam.
Dat maakt het incident technisch bijzonder.
Er hoefde blijkbaar geen federatiesleutel te worden gestolen om echte BTC uit de reserve vrij te krijgen.
Waarom L-BTC volledig gedekt hoort te zijn
Liquid is een Bitcoin-sidechain. Het netwerk draait los van Bitcoin, maar L-BTC wordt gekoppeld aan echte BTC.
Het officiële ontwerp schrijft een verhouding van één op één voor. Voor iedere L-BTC hoort een bitcoin vast te staan bij de federatie. Liquid legt dat peg-mechanisme zelf uit.
Bij een normale peg-out gebeurt het omgekeerde. L-BTC verdwijnt uit circulatie en de overeenkomstige BTC wordt vrijgegeven.
Daar ging het dit weekend mis.
Wanneer L-BTC kan worden gecreëerd of geaccepteerd zonder correcte dekking, kan het systeem echte bitcoin uitbetalen tegenover een claim die nooit had mogen bestaan.
Dat raakt rechtstreeks aan de dekking van L-BTC.
598 BTC is geen bevestigde bug bounty
De achtergebleven 598,5 BTC vertegenwoordigt tegen de huidige orde van grootte bijna $47 miljoen.
Op sociale media wordt dat bedrag al omschreven als een bug bounty of vindersloon. Daar is publiekelijk geen bevestigde overeenkomst voor bekend.
Blockstream heeft niet verklaard dat de partij deze honderden BTC definitief mag houden.
Dat onderscheid telt.
Een white-hat hacker meldt normaal gesproken een lek en handelt binnen afgesproken grenzen. Zelf honderden miljoenen dollars verplaatsen en daarna een deel vasthouden, maakt die kwalificatie veel moeilijker.
De teruggave van 85% verandert dus niet automatisch de juridische of ethische status van de oorspronkelijke opname.
De gesprekken lijken bovendien na de grote terugbetaling te zijn doorgegaan.
Liquid blijft ondanks teruggave uitgeschakeld
Wie denkt dat de terugkeer van 3.400 BTC het incident afsluit, mist het tweede probleem.
Liquid draait nog niet normaal.
Mow meldde in een nieuwe update dat Blockstream en de federatie extra fixes en beveiligingsverbeteringen uitvoeren.
Ook moet een chain split worden opgelost.
Een chain split betekent dat verschillende delen van een blockchain tijdelijk niet langer dezelfde versie van de transactiegeschiedenis volgen. Die verschillen moeten eerst worden rechtgetrokken voordat een veilige herstart mogelijk is.
Gebruikers hoeven volgens de update zelf niets te doen.
Ze krijgen wel het nadrukkelijke advies voorlopig geen bitcoin naar Liquid peg-in-adressen te sturen.
Andere Liquid-tokens werden niet direct geraakt
Het probleem concentreerde zich rond L-BTC en de brug naar Bitcoin.
Liquid meldde dat andere uitgegeven activa, waaronder USDT en verschillende tokenized assets, niet rechtstreeks door de aanval werden geraakt.
Dat betekent niet dat gebruikers daarvan niets merken.
Wanneer het netwerk stilligt, worden ook diensten die Liquid nodig hebben beperkt. Een token kan technisch onaangetast zijn terwijl de gebruiker er tijdelijk weinig mee kan doen.
Het onderscheid tussen verlies van dekking en verlies van beschikbaarheid is daarom belangrijk.
85% terug is nog geen herstel
De terugbetaling haalt de grootste directe dreiging weg.
3.400 BTC terugkrijgen is iets heel anders dan een tekort van bijna 4.000 BTC moeten opvangen. Maar de resterende 598,5 BTC is nog steeds een bedrag waar vrijwel ieder cryptoproject van wakker zou liggen.
Daarbovenop moet Blockstream aantonen dat dezelfde fout niet opnieuw kan worden misbruikt.
Pas daarna kan Liquid veilig herstarten en kan duidelijk worden hoe de resterende BTC worden behandeld.
Tot die tijd blijft de ongemakkelijke rekensom staan: 85% kwam terug, bijna $47 miljoen niet.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
