Мережа Liquid відновила повне забезпечення біткоїнами для своїх токенів LBTC майже через два місяці після того, як програмна експлойт-вразливість спустошила більшість резервів сайдчейну, хоча прямі виведення коштів залишаються обмеженими.
Резюме
- Мережа Liquid відновила забезпечення біткоїнами у співвідношенні 1:1 для LBTC після вересневої експлойт-атаки, яка спустошила майже 4 000 BTC.
- Чотири депозити загальною сумою приблизно 602,5 BTC завершили відновлення резервів, включаючи остаточний переказ на 250 BTC 2 листопада.
- Семсон Мау приписав заміну коштів компанії Blockstream, хоча федерація не опублікувала розподіл фінансування.
- Обмін BTC та LBTC відновився через провайдерів-учасників, тоді як прямі виведення через федерацію залишаються обмеженими.
- Федерація планує зміни в управлінні та додаткові запобіжні заходи після збою в системі безпеки.
У вівторок у своїй заяві Liquid Federation підтвердила, що резерви були «повністю відновлені, що відновлює забезпечення біткоїнами у співвідношенні 1:1 для всіх LBTC».
Оголошення відбулося після кількох переказів біткоїнів на резервний гаманець федерації, включаючи остаточний депозит на 250 BTC 2 листопада. Записи блокчейну показали приблизно 4 268,95 BTC, що забезпечують еквівалентну кількість LBTC, коли дефіцит було закрито.
Мережа Liquid закриває дефіцит у 600 BTC після експлойт-атаки
Відновлення відбулося після атаки 6 вересня, пов'язаної з Elements — програмним забезпеченням з відкритим вихідним кодом, яке використовується мережею Liquid.
У своїй оцінці інциденту безпеки Blockstream пояснила, що недолік у верифікації транзакцій дозволив зловмиснику створити приблизно 4 000 LBTC без внесення відповідних біткоїнів.
Потім зловмисник конвертував ці токени в реальні BTC через SideSwap — члена федерації, уповноваженого обробляти виведення коштів.
Резерви Liquid впали з приблизно 4 205 BTC до 197 BTC внаслідок несанкціонованих транзакцій та інших виведень, завершених до зупинки операцій.
7 вересня зловмисник повернув 3 400 BTC після спілкування з Blockstream через повідомлення, записані в блокчейні біткоїна.
Залучені особи заявили, що є дослідниками безпеки у сфері «білих капелюхів», хоча їхні особи та мотиви не були незалежно встановлені.
Вереснева оцінка Blockstream визначила залишкову невідновлену суму приблизно в 602 BTC.
Відновлення резервів прискорилося наприкінці жовтня, починаючи з депозиту на 2,5 BTC 27 жовтня та ще 50 BTC наступного дня.
Два більші перекази завершили процес 2 листопада, додавши 300 BTC та 250 BTC до гаманця федерації.
Згодом SideSwap підтвердив послідовність депозитів та повідомив, що резерви відповідають обсягу LBTC в обігу.
Станом на 3 листопада оновлені дані показали 4 270,54 BTC, що забезпечують ту саму кількість LBTC, відображаючи додаткову активність після початкового відновлення.
Хто заплатив за відновлення резервів біткоїнів мережі Liquid?
Хоча записи блокчейну показують депозити, остання заява федерації не називає всіх сторін, відповідальних за надання замінного біткоїна.
Ця різниця важлива, оскільки повернення викрадених коштів і надання свіжих біткоїнів є різними методами відновлення.
З початкової виведеної суми зловмисник повернув 3 400 BTC у вересні. Залишковий дефіцит було покрито пізнішими депозитами.
Самсон Моу, який входить до ради Liquid Federation, за повідомленнями, назвав Blockstream джерелом фінансування, коли його запитали про це.
«Як уже неодноразово зазначалося, Blockstream», — написав Моу у відповідь на запитання в X.
Однак федерація не опублікувала детального розподілу коштів заміщення та не пояснила, чи долучилися інші члени.
У заяві SideSwap від 3 листопада висловлено подяку Blockstream і членам федерації за завершення відновлення, але джерело фінансування самостійно не названо.
Відновлені баланси засвідчують, що до резерву повернулося достатньо біткоїнів. Вони самі по собі не вказують на власників гаманців, з яких надійшли кошти.
Свопи в Liquid Network відновлено, тоді як прямі виведення залишаються обмеженими
Liquid Network використовує систему, у якій BTC, депоновані в основному блокчейні Bitcoin, представлені як LBTC у його сайдчейні.
Користувачі можуть переказувати LBTC в межах Liquid, тоді як уповноважені члени федерації керують процесом конвертації його назад у BTC.
Після експлойту федерація призупинила виведення коштів і тимчасово зупинила активність мережі, поки розробники усували вразливість.
Як раніше повідомляло crypto.news, Liquid відновила виробництво блоків у вересні, перш ніж поступово відновити звичайні транзакції.
Згодом мережа запровадила оновлені процедури авторизації та розпочала незалежний аудит безпеки Elements v23.3.4.
Відповідно до свого плану поетапного відновлення від 20 жовтня федерація дозволила провайдерам-учасникам відновити свопи BTC/LBTC, зберігаючи обмеження на прямі peg-out.
SideSwap повідомив, що його сервіс конвертації відновив роботу 20 жовтня, дозволяючи клієнтам обмінювати LBTC на BTC за курсом 1:1 з комісією 0,1%.
Однак наразі ці виплати надходять із власного біткоїн-гаманця SideSwap, який потребує ручного поповнення.
Провайдер попередив, що виведення коштів може потрапляти в чергу, коли його доступний баланс біткоїнів вичерпується.
Прямі peg-out федерації залишаються предметом додаткових вимог безпеки та операційних вимог, без підтвердженої дати відкриття.
Федерація планує зміни в управлінні та посилені гарантії
Федерація заявила, що має намір модернізувати свою структуру управління та запровадити чіткіші обов'язки й нагляд після інциденту.
Її запланована робота включає додаткові технічні та операційні заходи захисту, покликані запобігти подібним збоям.
Blockstream раніше випустила Elements v23.3.4 для усунення вразливості та внесла зміни до процесу перевірки транзакцій у програмному забезпеченні.
Федерація оновлювала механізми авторизації, які використовують члени, що обробляють виведення коштів, зокрема процедури з офлайн-ключами Bitcoin.
У листопадовій заяві було обіцяно додаткову інформацію про зміни в управлінні та заходи безпеки «в найближчі тижні».
