Liquid Hackers geven 3.400 BTC terug, houden 47 miljoen dollar in bezit terwijl het netwerk geblokkeerd blijft

De teruggave betekent een belangrijke wending in een incident dat zondag 6 september begon, toen ongeveer 4.000 BTC, destijds ter waarde van zo’n 320 miljoen dollar, uit de Liquid Federation-portemonnee verdween die als dekking voor L-BTC diende. Dat vertegenwoordigde ongeveer 95% van de reserve, waardoor er slechts ongeveer 197 BTC overbleef.

3.400 BTC komt terug, maar 598,5 BTC blijft achter

Nadat Blockstream de betrokkenen had laten weten dat de bridge-knooppunten waren gepatcht en dat de middelen „veilig konden worden teruggegeven“, verstuurden zij een transactie waarmee 3.400 BTC naar het adres van de federatie werden overgemaakt. Het adres van de daders behield 598,49955894 BTC, en niets in de on-chain-berichten wees erop dat dit resterende deel van ongeveer 15% een overeengekomen beloning was.

Interessant genoeg was dit geen klassiek geval waarbij hackers privésleutels hadden gestolen en een wallet hadden leeggehaald. Liquid verklaarde dat er geen federatiesleutels waren gecompromitteerd, terwijl Sideswap aangaf dat er geen inbreuk op zijn systemen was gepleegd. Het probleem was in plaats daarvan terug te voeren op Elements, de Bitcoin Core-fork die door Liquid-knooppunten wordt gebruikt.

Bug in Elements opende de deur voor L-BTC zonder dekking

Onafhankelijke technische reconstructies wijzen op een bug in de range-proof-verificatiecache, waardoor de daders blijkbaar L-BTC konden creëren zonder de bitcoin die normaal gesproken nodig is om deze te dekken. In gewone taal: het systeem accepteerde bitcoin-achtige tokens die nooit hadden mogen bestaan, en die tokens werden later ingewisseld voor echte bitcoin uit de reserves van Liquid.

De daders voerden eerst een proefrun van 2,5 BTC uit, voordat omstreeks 14:05 UTC ongeveer 4.000 L-BTC de ‘peg-out’-service van Sideswap bereikten. Sideswap verwerkte het verzoek op de gebruikelijke manier, vernietigde de L-BTC en vroeg om betaling, waarna de federatie van Liquid om 14:28 UTC 3.996 BTC naar de bestemming stuurde.

Er staat veel op het spel bij dit onderscheid. De ondertekenaars van de Liquid-federatie gedroegen zich zoals bedoeld toen ze een geldig opnameverzoek kregen voorgelegd. De storing vond eerder plaats, toen ongedekte L-BTC het systeem binnenkwam, wat betekent dat het incident draaide om de uitgifte en niet om gecompromitteerde bewaarsleutels.

Blockstream en de daders onderhandelen over Bitcoin

Wat volgde was allesbehalve een normale beveiligingsmelding. De daders communiceerden openbaar via Bitcoin OP_RETURN-berichten en verklaarden eerst: „wij zijn whitehats. neem via de blockchain contact met ons op.” Blockstream reageerde uiteindelijk met PGP-ondertekende berichten, en de daders zeiden dat ze het geld zouden teruggeven nadat het netwerk was gepatcht.

Daarnaast blijft de omschrijving als ‘whitehats’ omstreden. Charles Guillemet, CTO van Ledger, zette vraagtekens bij de aanpak van ‘eerst nemen en daarna onderhandelen’, hoewel hij later erkende dat de daders onervaren onderzoekers zouden kunnen zijn. Liquid zelf heeft hen voorzichtig ‘zogenaamde whitehat-hackers’ genoemd.

Liquid blijft bevroren terwijl beheerders voor de volgende test staan

De teruggave van 3.400 BTC verlicht de druk op het reserveprobleem aanzienlijk, maar Liquid is nog niet uit de problemen. Het netwerk blijft stilgelegd, bridge-knooppunten zijn uitgeschakeld en L-BTC-stortingen en -opnames bij gecentraliseerde beurzen blijven opgeschort. Andere door Liquid uitgegeven activa, waaronder USDT, Depix en real-world assets (RWA’s), zijn onaangetast gebleven.

Aan de andere kant ondervond het hoofdnetwerk van Bitcoin geen hinder, en zijn Liquid-wallets zoals Aqua alleen wat betreft hun Liquid-functionaliteit verstoord. Ongeveer 598,5 BTC blijft in handen van de daders, zonder dat er een overeenkomst is gepubliceerd waarin wordt uitgelegd of die middelen uiteindelijk zullen worden teruggegeven.

Een herstart ligt wellicht in het verschiet zodra de beheerders kunnen aantonen dat legitieme L-BTC weer 1:1 gedekt is, een gepatchte Elements-release over het netwerk verspreiden en besluiten dat het veilig is om de bridge weer te openen. Totdat deze stappen zijn voltooid, is het stof nog lang niet neergedaald na een van de grootste technische crises van Liquid.