רשת הצד Layer 2 (L2) הידועה בשם Liquid Network הושהתה ביום ראשון בעקבות מה שמכונה האקר “כובע לבן” שניצל באג בתוכנת Elements של Blockstream, לפי חשבון ה-X של Sideswap (שוק ה-atomic-swap של Blockstream).
בלוקסטרים צדה "כובעים לבנים" לאחר ש־4,000 BTC עזבו את ליקוויד
נכתב ע"י
שתף
נקודות עיקריות
- Blockstream השעתה את שכבת ה-Layer 2 (L2) של רשת Liquid לאחר שכ-4,000 BTC, בשווי 320 מיליון דולר, נמשכו ב-6 בספטמבר על ידי מה שמכונה האקרים “כובע לבן”.
- באג ה-Elements שעליו הצביע Sideswap מעלה חששות אבטחה חדשים לאחר ש-3,996 BTC עברו דרך שירות ה-peg-out שלה.
- Blockstream הסבירה שהיא בעיצומו של ניסיון ליצור קשר עם ה“כובעים הלבנים” בעוד שהתקרית ב-Liquid עדיין לא נפתרה. החברה שלחה הודעה onchain.
4,000 BTC יוצאים מ-Liquid כש-Blockstream מנסה נואשות להכיל את הניצול
ביום ראשון אחר הצהריים, הבלש onchain Ergo BTC גילה שרשת Liquid של Blockstream נפרצה, ולאחר ההתרעה הזו, כמה אחרים החלו לשתף את החדשות. Bitcoin.com News דיווחה על הסיפור בשעה 15:17 שעון EDT ב-6 בספטמבר, ומאז, מתחזקי Liquid אישרו את הניצול. בשעה 16:25, Blockstream ציינה שכ-4,000 BTC (כ-320 מיליון דולר) נמשכו, ולכאורה, הפעולה בוצעה על ידי האקרים כובעים לבנים.
בעיקרון, האקרים כובעים לבנים הם מומחי אבטחת סייבר אתיים שלעתים מנצלים חולשות כמו זו כדי להראות שזה אפשרי לפני שפושעים אמיתיים ינצלו את אותה נקודת תורפה. Blockstream אמרה שהרשת הושהתה, ונאמר לבורסות לעצור הפקדות ומשיכות של L-BTC.
החברה ציינה גם שהיא מנסה ליצור קשר עם הכובעים הלבנים onchain. בנוסף לחשבון ה-X של Liquid Network, גם Sideswap.io חשפה שמישהו ניצל באג בתוכנת Elements של Blockstream.
“היום בשעה 14:05 UTC, לקוח שלח 4,000 L-BTC לשירות ה-peg-out של SideSwap,” כתב חשבון ה-X של Sideswap בפלטפורמה החברתית. “השירות שלנו עיבד זאת כמו כל הזמנה אחרת: ה-L-BTC נשרפו ב-Liquid עם הרשאת peg-out תקפה, ובשעה 14:28 UTC, פדרציית Liquid שילמה 3,996 BTC לכתובת הביטקוין של הלקוח. מאז Blockstream קבעה שה-L-BTC בהזמנה הזו נוצרו באמצעות באג בתוכנת Elements.”
מפקפקים בטענת ה“כובע הלבן”
קהילת הקריפטו לא גילתה סלחנות לאחר האירוע הזה, וכמה חשבונות ב-X מתחו ביקורת על הפרויקט. “תבעטו את התוכנה הזו החוצה, אתם גמורים,” כתב אדם אחד בתגובה להודעה של Sideswap. במקביל לכך, Blockstream הגיבה onchain וכתבה, “Please contact security@blockstream.com” בהודעת OP_RETURN. סמנכ”ל הטכנולוגיות של Ledger, שארל גיום, הסביר שהמהלכים של מה שמכונה האקרים כובעים לבנים לא נראים כמו כובע לבן טיפוסי.
“עכשיו הם מבקשים שייצרו איתם קשר ב-Signal. זה לא נראה כמו פרקטיקות רגילות של כובעים לבנים, אבל גם ארגוני פשיעה רגילים בדרך כלל לא מנסים ליצור קשר עם הקורבנות שלהם. יש תקווה. [אלה] יכולים להיות אנשים עם כוונות טובות ששיחקו בצורה אינטנסיבית עם LLMs לאחרונה ואינם מורגלים בגילוי אחראי,” אמר גיום ב-X.
ההשלכות של Liquid פוגעות ב-Aqua כשסמסון מו מפרט את ההשפעה
סמסון מו, מנכ”ל JAN3, חברת טכנולוגיית הביטקוין שפיתחה את ארנק Aqua, גם שיתף את דעתו. “התיאוריה העובדת היא שהפגיעות נמצאת ב-Confidential Transactions של Liquid, אבל המפתחים לא יכולים לאשר זאת בשלב זה. הפגיעות היא בעיית node-level ואינה קשורה ל-PAKs או ל-HSMs,” כתב מו. הוא הוסיף שהמוצר שלו, Aqua, מושפע.
“כולם עובדים באופן פעיל כדי לפתור את זה ונשתף מידע ככל שהמצב יתפתח. כארנק Liquid BTC, הפונקציונליות של Liquid ב-Aqua Bitcoin מושפעת, אבל עסקאות ביטקוין עדיין יעבדו כרגיל. אלה זמנים קשים אבל נצליח לעבור את זה.”
ניצול Liquid מעמיד את אבטחת רשתות הצד תחת זכוכית מגדלת
2026 הייתה שנה גיהינומית מבחינת ניצולים ופריצות, והאירוע הזה רק מוסיף מלח על הפצעים. הוא גם ממקד תשומת לב ברשתות צד, גשרים, באגים טכניים ושבריריות ממשל. העובדה היא שרשת צד פדרטיבית מוכרת שמשהה פעילות לצורך התערבות ידנית היא עניין גדול למדי, וזה די חריג. במיוחד כשמדובר במוצר שנבנה על ידי חברת BTC בשווי 3.2 מיליארד דולר. אפשר לומר בבטחה שעם כל הניצולים האלה במרחב הקריפטו, כמו באג הקושחה האחרון של Coldcard, האמון נשחק.
לצד זאת, שוב מאשימים בינה מלאכותית (AI) או מודלים גדולים של שפה (LLMs) בכך שמצאו את הניצול הספציפי הזה, למרות ש-Blockstream לא אמרה כיצד התגלה הבאג. אנשים עדיין משערים. בו בזמן, בעוד ש-LLMs הם מזהי-דפוסים עוצמתיים ויכולים לאתר חולשות, מקרה כזה ככל הנראה דרש אינטואיציה פרוטוקולית עמוקה ותלוית-הקשר. כלומר, בעוד שייתכן שה-AI עזר, אדם בוודאי לחץ על ההדק.
מאמר זה תורגם מאנגלית באמצעות בינה מלאכותית. הגרסה המקורית באנגלית היא המקור הקובע; תרגומים אוטומטיים עשויים להכיל אי-דיוקים, במיוחד במונחים משפטיים ורגולטוריים.
