Співзасновник Rootstock пропонує обов'язкові відкладені виведення для біткоїн-містків після інциденту в Liquid Network

Після інциденту з несанкціонованим виведенням у Liquid Network співзасновник і головний науковий співробітник Rootstock Серджіо Лернер закликав зробити "відкладені виведення" обов'язковим стандартом для біткоїн-кросчейн містків. За його словами, якщо після програмної перевірки кошти розблоковуються одразу, одна помилка у валідації здатна миттєво спричинити повну втрату активів, майже не залишаючи операторам часу на реакцію. Лернер у коментарі crypto.news пояснив: механізм затримки дає кілька годин "вікна" для систем моніторингу та ручного втручання, аби виявити аномалії й зупинити процес до фактичного переказу BTC. На його думку, події навколо Liquid наочно продемонстрували ризики моделі з миттєвим вивільненням коштів. Заява пролунала після нетипового відтоку з гаманця Liquid Federation. За повідомленнями, зловмисник спочатку створив LBTC без достатнього забезпечення, а потім подав заявку на виведення через сервіс pegout платформи SideSwap, у підсумку вивівши майже 4 000 BTC з гаманця Liquid Federation. У Liquid причетних осіб назвали так званими "whitehat hackers". У SideSwap заявили, що система опрацювала запит за стандартними процедурами, оскільки ці LBTC не відрізнялися від токенів зі звичайним забезпеченням. Приблизно через 23 хвилини федеративний гаманець переказав 3 996 BTC на вказану біткоїн-адресу. Станом на зараз повернуто 3 400 BTC. Blockstream підтвердила, що уражені вузли містка вже пропатчено, однак близько 598 BTC залишаються неповернутими. Станом на 10 вересня Liquid відновила виробництво блоків, але відновлення транзакцій і операції peg ще не перезапущено. Лернер вважає, що за наявності обов'язкового періоду очікування між випуском незабезпечених LBTC та вивільненням реальних BTC масштаби втрат могли бути значно меншими. У такій архітектурі після програмної верифікації виведення не завершується одразу, а переходить у фазу очікування. Протягом цього часу автоматизовані інструменти моніторингу можуть перевіряти, чи відповідають заявки на pegout резервам BTC, які мають забезпечувати LBTC. Якщо виявляється розбіжність між обсягом токенів і забезпечувальними активами, оператори здатні призупинити виведення до застосування апаратних підписів, не допускаючи миттєвого відтоку BTC з федеративного гаманця. У Rootstock вже діє 36-годинний період очікування. Лернер пояснив, що механізм двостороннього пегу Rootstock побудований за схожим принципом: спеціалізовані апаратні модулі безпеки PowHSMs самостійно перевіряють, що минуло 4 000 блоків Rootstock (приблизно 36 годин сукупного proofofwork), перш ніж підписати виведення BTC. Приватний ключ постійно зберігається всередині пристрою, а функціональні вузли не можуть змусити обладнання обійти період очікування. Навіть якщо більшість учасників підписання діятиме узгоджено, вони можуть лише затримати виведення, але не здатні прискорити переказ базового BTC. Водночас BIP443 все ще має статус чернетки. Лернер зазначив, що нинішні механізми безпеки Rootstock спираються на HSM і федеративну архітектуру, а не на пряме примусове виконання на рівні консенсусу основної мережі Bitcoin. У перспективі, якщо в Bitcoin з'явиться нативне "vault"-рішення, подібні запобіжники можна буде закодувати на протокольному рівні. Як приклад він навів BIP443, який пропонує opcode OP_CCV, що дає змогу накладати обмеження на Bitcoin-виходи та регламентувати подальше переміщення коштів. Серед сценаріїв використання вказано сайдчейни, "stateful outputs" і відкличні двокрокові структури виведення.