A biztonsági csapat, amely már több ezer sebezhetőséget tárt fel, utalt arra, hogy korábban már jelezték azt a hibát, amelynek köszönhetően egy „white-hat” hacker közel 4 000 BTC feletti irányítást szerzett. Calle, a csapat vezetője, hangsúlyozta, hogy a Blockstream az incidens előtt figyelmen kívül hagyta az e-mailjeiket.
A Bitcoin Red Team azt állítja, hogy a Blockstream figyelmen kívül hagyta a figyelmeztetéseket a támadás előtt
ÍRTA
MEGOSZTÁS
Főbb tanulságok
- A Bitcoin Red Team állítása szerint a támadás előtt figyelmeztette a Blockstreamet, ami tovább élesítette a megelőzhető veszteségek körüli vitát.
- A Blockstream tagadta, hogy figyelmen kívül hagyta volna a biztonsági figyelmeztetéseket, és a sebezhetőséget egy hibás mesterséges intelligencia-alapú javításnak tulajdonította.
- A Liquid szeptember 10-én helyreállította a tranzakciókat, de a peg-outok továbbra is letiltva vannak, és közel 600 BTC továbbra is hiányzik.
A Bitcoin Red Team állítólag már a 4 000 BTC-s incidens előtt jelentette a Liquid hibáját
Miközben folytatódik a küzdelem a Liquid-támadásból fennmaradt közel 600 BTC visszaszerzéséért, egy biztonsági fejlesztőkből álló csoport rámutatott, hogy ez a lopás eleve elkerülhető lett volna.
A Bitcoin Red Team – egy önkéntesekből álló csoport, amely a bitcoinhoz kapcsolódó projektek sebezhetőségeinek ellenőrzésére és nyilvánosságra hozatalára szakosodott, és amely a Coldcard-kihasználás után hirtelen megnőtt népszerűségnek örvend – közvetve jelezte, hogy már korábban is nyilvánosságra hozta azt a sebezhetőséget, amelyet kihasználva közel 4 000 BTC-t vittek el a Liquid szövetségi pénztárcákból.
Válaszul a Blockstream alapítója és vezérigazgatója, Adam Back bejegyzésére – amelyben elmagyarázta, hogy a hackelést lehetővé tevő hiba „egy helytelen hibajavítás miatt került beépítésre, egy mesterséges intelligencia által észlelt, egyébként nem kritikus hiba miatt” – a Bitcoin Red Team társelnöke, Calle kijelentette:
„Kiderült, hogy mindössze 600 BTC-be kerül, ha figyelmen kívül hagyunk egy e-mailt a Red Teamtől.”
Calle folytatta, kijelentve, hogy Back állításai pontatlanok voltak, és hogy a Blockstream csupán „szelektíven és pontatlanul említette a javításokat, anélkül, hogy teljes és egyértelműen dokumentálta volna azok elismerésének történetét.”
Mindazonáltal Samson Mow, a Blockstream korábbi biztonsági vezetője (CSO) hangsúlyozta, hogy egyetlen e-mailt sem hagytak figyelmen kívül, és kijelentette, hogy ezek a burkolt vádak aláássák a Red Team szakmai hitelességét.
„Időt adunk a Blockstreamnek, hogy helyreállítsa a rendes működést, és közzétegye a Liquid-támadás utólagos elemzését, mielőtt mi is megosztanánk a nyilvánosságra hozatali folyamatról szóló saját, teljes beszámolónkat” – zárta Calle, utalva arra, hogy ellentmondó verziók léteznek a támadáshoz vezető eseményekről.
Bár a sidechain-hálózatot az incidens nyilvánosságra kerülése óta felfüggesztették, szeptember 10-én a Liquid újraindította a blokkok generálását anélkül, hogy engedélyezte volna a tranzakciókat. A cikk írásának pillanatában a tranzakciók már engedélyezve vannak, és a csomópontok érvényesítik a blokkokat. Mindazonáltal a peg-outok „óvintézkedésként” továbbra is letiltva vannak, és nincs meghatározott időkeret a újraindításukra.
A „fehér kalapos” hacker továbbra is ellenőrzi a fennmaradó BTC-t, ami azt jelenti, hogy egy harmadik félnek be kellene fizetnie a szükséges eszközöket a BTC és az L-BTC – a Liquid saját eszközének – közötti 1:1-es árfolyam-rögzítés biztosításához.
Ezt a cikket mesterséges intelligencia segítségével fordították le angolról. Az eredeti angol nyelvű változat a hiteles forrás; az automatikus fordítások pontatlanságokat tartalmazhatnak, különösen a jogi és szabályozási terminológiában.
