Liquid Network reanuda las transacciones mientras el hacker mantiene 600 BTC

La sidechain Liquid de Blockstream reanudó la producción de bloques el jueves, aproximadamente cuatro días después de que una persona que afirmó ser un hacker de sombrero blanco extrajera cerca de 4.000 BTC de su billetera de federación y luego devolviera la mayoría. La reanudación es relevante para cualquier persona con Liquid Bitcoin (L-BTC) o stablecoins en la red.

Los fondos han estado suspendidos desde el domingo, y unos 600 BTC que siguen en manos del atacante representan un agujero en la reserva que respalda esos tokens.

Se utilizó la clave de peg-out de SideSwap pero nunca fue robada

Los nodos de puente y nodos funcionales de Liquid ya tienen activos los parches de software necesarios. Los nodos funcionales están firmando y validando bloques como corresponde.

Las operaciones de peg están desactivadas mientras la red reconstruye su reserva de BTC a L-BTC.

Todo comenzó el domingo 6 de septiembre, cuando hackers que se presentaron como de sombrero blanco retiraron unos 4.000 BTC, valorados en unos 320 millones de dólares, de la billetera de la Federación de Liquid. Eso fue aproximadamente el 95% del saldo de ~4.200 BTC de la billetera.

Blockstream informó posteriormente que el problema fue causado por una falla en Elements, el software de código abierto que sustenta Liquid, que permitía la creación de L-BTC inválidos y su rescate a través del camino normal como si estuvieran completamente respaldados.

El equipo lanzó un parche de emergencia, Elements v23.3.4, un día antes de la reanudación, reforzando las claves de caché utilizadas para los range proofs, cerrando así la vulnerabilidad de verificación de pruebas relacionada con el robo.

Adam Back promete el peg uno a uno pero sin plazo definido

Después de que Blockstream firmó una nota on-chain diciendo: “Los nodos de puente están parcheados, es seguro devolver los fondos”, los actores devolvieron 3.400 BTC, unos 269,2 millones de dólares al tipo de cambio del 7 de septiembre. Eso dejó unos 598,5 BTC pendientes, alrededor de 46 a 47 millones de dólares dependiendo del precio actual.

El 9 de septiembre, el hacker anónimo criticó públicamente el gasto de Blockstream, afirmando que la compañía solo había destinado 1,5 millones de dólares para proteger 5.000 millones de dólares en activos.

“Su negligencia en el deber es obvia”, escribió el hacker, advirtiendo que el resto de las monedas seguirían desaparecidas a menos que se pagara un bug bounty del 10%.

“DEBERÁN pagar el 10% usando su propio dinero como bug bounty o causarán a todos sus holders una pérdida del 15% por su irresponsabilidad y mezquindad”, agregó el actor de la amenaza.

El fundador y CEO de Blockstream, Adam Back, tranquilizó a los holders asegurando que el peg de L-BTC se mantendrá uno a uno, lo que significa que los usuarios pueden canjear sus tokens por la misma cantidad de Bitcoin en la capa base.

No expresó cómo se cubrirá el faltante de ~600 BTC cuando se reabran los peg-outs ni brindó un plazo para restaurar los servicios de peg-in y peg-out.