Blockstream、Liquid Network攻撃で流出したBTCの85%回収も残りの身代金支払いを拒否

Blockstreamは、Liquid Networkのフェデレーション・ウォレットから9月6日に流出した4,000BTCのうち、約3,400BTCを回収したとした上で、残る598.5BTC（約4,700万ドル相当）について身代金の支払いに応じない方針を9月11日に明らかにした。同社は、盗難資産の返還と引き換えに攻撃者へ対価を支払う行為は"責任ある情報開示"ではなく窃盗の交渉であり、応じれば今後の攻撃の"手口の雛形"を業界に提供することになると主張している。 今回の事案は、BlockstreamのLiquidサイドチェーンを支えるオープンソース基盤"Elements"のコードベースに存在したソフトウェア不具合を突いたもの。脆弱性により裏付けのないLBTC（ネットワーク上のペッグトークン）を生成でき、それをフェデレーション・ウォレット内の実際のBTCと交換される形で流出が発生した。 Blockstreamは、フェデレーションの署名鍵が侵害されたわけではないと強調する。Liquidのカストディを支えるマルチシグのセキュリティモデル自体は維持され、攻撃はペッグ取引の検証ロジックにおける欠陥を突いたものだという。同社は迅速にパッチを適用し、9月7日までに約3,400BTCが返還され、流出額の約85%に相当した。復旧の過程でLiquid Networkは一時的に稼働を停止し、その後、更新されたブロック生成プログラムで再開した。 攻撃者とのやり取りはオンチェーンで公然化した。OP_RETURNメッセージやPGP署名付きのビットコイン取引を通じて交渉が進み、攻撃者側は当初ホワイトハットを名乗って、流出BTCを全額返還する条件として10%の報奨金を要求。Blockstreamが即応しないと、"条件に従わなければBTC保有者が15%の損失を被る"と脅しを強めた。 これに対しBlockstreamは、一連の行為を窃盗と位置付け、ホワイトハットという呼称を明確に否定。同社の見解では、ホワイトハットは脆弱性を責任ある形で開示し、影響を受けたチームと協力して対応するもので、資金を先に引き出してから交渉することはないとしている。Blockstreamは、法執行機関およびフォレンジック専門家と連携し、残りの資金を法的手段で追跡・回収する方針も示した。 身代金を支払えば、Blockstreamは約4,700万ドルの負担を迫られる計算となる。同社は、今回が今年の暗号資産分野で最大級の単発攻撃の一つだと指摘する。 Liquid Networkは2018年にローンチしたフェデレーション型のビットコイン・サイドチェーンで、決済の高速化と秘匿取引を主目的に、取引所や機関投資家トレーダーの利用を想定している。フェデレーションモデルでは、複数の"functionaries"（運営参加者）によるコンソーシアムが、ビットコインとLBTCのペッグ管理を共同で担っている。