リキッド・ネットワーク、約4,000BTC流出の経緯を公表――無担保LBTC発行とpegout悪用

Liquid Federationはインシデント報告書を公開し、約4,000BTCが流出した一連の手口を明らかにした。報告書によると、攻撃者はElementsのレンジプルーフ検証におけるキャッシュ処理の脆弱性を突き、裏付けのないLBTCを約4,000BTC相当分作成。その後、SideSwapの認可されたpegout経路を利用して無効なLBTCを実BTCへと換金した。 当該トランザクションはLiquidのファンクショナリーにより正当なものとして受理され、フェデレーション準備金から約4,000BTCが払い出された。秘密鍵の漏えいは確認されておらず、pegoutメカニズム自体は設計どおりに動作していたという。 インシデント前、Liquidの保有準備金は約4,205BTCだったが、運用停止までに最少197BTCまで減少。自称ホワイトハットがその後3,400BTCを返還し、未返還は約598.5BTCとしている。 Liquidは現在もオフラインの状態が続いており、Blockstreamは緊急対応としてElements v23.3.4のリリース準備を進めるとともに、BTCの1:1裏付けを回復した上でネットワーク復旧を目指している。