Het beveiligingsteam, dat al duizenden kwetsbaarheden aan het licht heeft gebracht, liet doorschemeren dat het eerder melding had gemaakt van het beveiligingslek waardoor een white-hat-hacker de controle over bijna 4.000 BTC kon overnemen. Calle, de leider van het team, benadrukte dat Blockstream hun e-mails vóór het incident had genegeerd.
Bitcoin Red Team beweert dat Blockstream waarschuwingen voorafgaand aan de hack heeft genegeerd
GESCHREVEN DOOR
DELEN
Belangrijkste conclusies
- Het Bitcoin Red Team beweerde dat het Blockstream vóór de hack had gewaarschuwd, wat de discussie over vermijdbare verliezen aanwakkerde.
- Blockstream ontkende dat het beveiligingswaarschuwingen had genegeerd en schreef het beveiligingslek toe aan een gebrekkige AI-bugfix.
- Liquid heeft de transacties op 10 september hersteld, maar de ‘peg-outs’ blijven uitgeschakeld en er wordt nog steeds bijna 600 BTC vermist.
Bitcoin Red Team zou Liquid-bug hebben gemeld vóór het incident met 4.000 BTC
Terwijl de strijd om de resterende bijna 600 BTC uit het Liquid-exploitincident terug te krijgen voortduurt, wees een groep beveiligingsontwikkelaars erop dat deze diefstal wellicht al in de eerste plaats voorkomen had kunnen worden.
Het Bitcoin Red Team, een groep vrijwilligers die zich toelegt op het controleren en openbaar maken van kwetsbaarheden in bitcoin-gerelateerde projecten – en die na de Coldcard-aanval sterk in opkomst kwam – liet indirect doorschemeren dat het de kwetsbaarheid die werd misbruikt om bijna 4.000 BTC uit de Liquid-federatiewallets te verplaatsen, al eerder had gemeld.
In reactie op een bericht van Adam Back, oprichter en CEO van Blockstream, die uitlegde dat de bug die de hack mogelijk maakte was ontstaan „als gevolg van een onjuiste bugfix voor een door AI ontdekte bug, die bovendien geen kritieke bug was“, verklaarde Calle, medeleider van het Bitcoin Red Team:
„Het blijkt dat het je slechts 600 BTC kost om een e-mail van het Red Team te negeren.”
Calle vervolgde met de opmerking dat de uitspraken van Back onjuist waren en dat Blockstream slechts „selectief en onnauwkeurig de patches had genoemd zonder een volledige en zeer duidelijke geschiedenis van erkenning.”
Niettemin benadrukte Samson Mow, voormalig CSO van Blockstream, dat er geen e-mails waren genegeerd, en verklaarde hij dat deze insinuaties afbreuk deden aan de professionaliteit van het Red Team.
"We zullen Blockstream de tijd geven om de normale bedrijfsvoering te herstellen en een postmortem over de Liquid-hack te publiceren, voordat we ons eigen volledige verslag van het openbaarmakingsproces delen," concludeerde Calle, waarmee hij zinspeelde op tegenstrijdige versies van dezelfde gebeurtenissen die tot de hack hebben geleid.
Hoewel het sidechain-netwerk sinds de bekendmaking van het incident was stilgelegd, hervatte Liquid op 10 september de productie van blokken zonder transacties toe te staan. Op het moment van schrijven zijn transacties wel toegestaan en valideren nodes blokken. Niettemin blijven ‘peg-outs’ uitgeschakeld „als voorzorgsmaatregel“, zonder dat er een duidelijk tijdschema is voor de hervatting ervan.
De white-hat-hacker heeft nog steeds de controle over de resterende BTC, wat betekent dat een derde partij de benodigde activa zou moeten storten om een 1:1-koppeling tussen BTC en L-BTC, het eigen Liquid-actief, te waarborgen.
Dit artikel is met behulp van AI uit het Engels vertaald. De originele Engelstalige versie is de gezaghebbende bron; geautomatiseerde vertalingen kunnen onnauwkeurigheden bevatten, met name in juridische en regelgevende terminologie.
