Liquid wznowił produkcję bloków, ale transakcje i usługi cross-chain z BTC nadal wstrzymane

Jak podaje CoinMarketCap, bitcoinowy sidechain Liquid ponownie produkuje bloki, lecz na razie nie przetwarza transakcji. Zatrzymanie sieci nastąpiło po wypłacie ok. 320 mln USD w Bitcoinie. Zespół deweloperski weryfikuje stabilność zaktualizowanego systemu przed decyzją o przywróceniu przelewów i usług mostu. Handel oraz transfery cross-chain pozostają zawieszone. Liquid poinformował, że węzły funkcyjne i węzły mostu zakończyły wymagane aktualizacje oprogramowania, a węzły funkcyjne mogą ponownie składać rezygnacje i walidować bloki. Nie przywrócono jeszcze standardowych przelewów, dwukierunkowych operacji między BTC a Liquid ani procesów wypłat autoryzowanych przez PAK. W normalnych warunkach użytkownik wpłaca BTC na kontrolowany przez federację adres pegin i otrzymuje równowartość LBTC w sieci Liquid. Następnie może spalić LBTC poprzez autoryzowaną usługę wypłaty, aby odzyskać odpowiadającą kwotę BTC w głównej sieci Bitcoina. Obecne wstrzymanie oznacza, że ten mechanizm wykupu jest czasowo niedostępny. Incydent wywołała luka w procesie weryfikacji dowodów w Elements, otwartoźródłowym oprogramowaniu stanowiącym bazę Liquida. Atakujący wykorzystali podatność do wygenerowania LBTC bez wystarczających rezerw BTC i wymienili je na realnego Bitcoina za pośrednictwem autoryzowanej usługi wypłaty SideSwap. Jak wcześniej ujawniono, powiązane transakcje przeniosły ok. 3,996 BTC, obniżając saldo portfela federacji z ok. 4,205 BTC do ok. 202 BTC, czyli o niemal 95% ówczesnych zasobów. Zarówno Liquid, jak i SideSwap oświadczyły, że prywatny klucz autoryzujący wypłatę nie został przejęty; problemem była błędna walidacja złożonego żądania wykupu LBTC. Liquid opublikował awaryjną aktualizację Elements v23.3.4. Wersja ta zmienia sposób walidacji cache dla range proofs. Range proofs służą do potwierdzania, że kwota w transakcji poufnej jest poprawna bez ujawniania konkretnej wartości. Wcześniej oprogramowanie nie uwzględniało wystarczającego kontekstu transakcji przy ponownym użyciu wyników walidacji, przez co nieprawidłowe dowody mogły być wielokrotnie błędnie akceptowane. Dzień przed wznowieniem produkcji bloków Liquid udostępnił aktualizację awaryjną. Następnie Blockstream skontaktował się z posiadaczami odpowiednich adresów poprzez wiadomości on-chain w sieci Bitcoina. Strony wskazały, że zwrócą środki po załataniu wszystkich węzłów. Po wysłaniu przez Blockstream wiadomości z podpisem dla wersji z łatką druga strona zwróciła 3,400 BTC, czyli ok. 85% wypłaconych środków. Według ceny przytoczonej w raporcie wartość tej kwoty to ok. 270 mln USD. Na adresie powiązanym z tą wypłatą pozostaje ok. 598,5 BTC. Dyrektor ds. technologii w Ledger, Charles Guillemet, zakwestionował na X deklarację "white hat", sugerując, że zatrzymanie ok. 600 BTC bez publicznie ujawnionych warunków przypomina raczej formę nacisku niż standardową nagrodę za wykrycie luki. Brakuje też publicznego potwierdzenia, że saldo to zostało oficjalnie uznane za bug bounty. Liquid to sidechain Bitcoina utrzymywany przez federację węzłów, projektowany głównie z myślą o giełdach i instytucjach, aby zapewnić szybsze rozliczenia niż główna sieć BTC. Peg 1:1 LBTC jest oparty na rezerwach BTC przechowywanych w portfelach federacji. Do czasu przywrócenia usług mostu posiadacze LBTC nie mogą wykupić aktywów na BTC w sieci głównej standardową ścieżką. Liquid nie podał harmonogramu przywrócenia transakcji, autoryzacji PAK dla wypłat ani pozostałych operacji bridgingu.