Liquid Federation、約4,000BTC流出につながる脆弱性インシデントを公表

ChainCatcherがBitcoin Newsの監視情報として伝えたところによると、Liquid Federationはインシデント報告書を公開した。攻撃者はElementsのレンジプルーフにおける検証キャッシュの脆弱性を悪用し、裏付けのないLBTCを約4,000BTC相当発行。その後、SideSwapの認可済みイグジット・アンカー経路を通じて実BTCに交換したという。Liquidを統治する各主体は当該取引を有効と判断し、フェデレーション準備金から約4,000BTCを払い出した。 報告によれば、発生前のLiquidの準備金は約4,205BTCだったが、運用停止前に最低197BTCまで減少した。攻撃者はホワイトハットを名乗り、これまでに3,400BTCを返還しており、未返還分は約598.5BTCとしている。 秘密鍵の漏えいは確認されておらず、イグジット・アンカーの仕組み自体は設計どおりに機能した。Liquidは現在も停止中。BlockstreamはElements v23.3.4の緊急版リリースを準備しており、BTC準備金1:1の裏付けの下でネットワーク復旧を進めている。