Liquid Network recupera 3.400 BTC após saque de 4.000 BTC; 598,5 BTC seguem

SideSwap diz que peg-out válido seguiu criação de L-BTC via bug de software

A SideSwap forneceu um relato mais detalhado do fluxo das transações, dizendo que 4.000 L-BTC foram enviados ao seu serviço de peg-out. O serviço queimou esses tokens usando uma autorização de peg-out válida, após o que a Liquid Federation pagou 3.996 BTC para o endereço de Bitcoin do cliente.

A SideSwap disse que a Blockstream depois estabeleceu que o L-BTC havia sido criado por meio de um bug no software Elements. A SideSwap afirmou que nem seus sistemas nem sua peg-out authorization key haviam sido comprometidos, diferenciando a vulnerabilidade de software de um roubo de credenciais de autorização.

Outros ativos na Liquid, incluindo USDT, DePix e RWAs, não foram afetados, segundo a Liquid. Carteiras da Liquid foram afetadas, enquanto transações de Bitcoin continuaram funcionando normalmente em serviços relacionados enquanto a federação trabalhava para restaurar as operações.

A Liquid desativou temporariamente os nós de bridge, efetivamente pausando a sidechain. Corretoras foram notificadas e estavam pausando ou já haviam pausado depósitos e saques de L-BTC. A SideSwap disse separadamente que swaps, peg-ins e peg-outs permaneceriam pausados até a rede retomar.

Invasor condiciona devolução à correção do bug

A Blockstream contatou o invasor pela primeira vez por meio de uma transação de Bitcoin no bloco 965,822, pedindo que a parte entrasse em contato com sua equipe de segurança. O suposto hacker white-hat se comunicou com a Blockstream usando mensagens Bitcoin OP_RETURN e texto criptografado com PGP.

No bloco 965,875, o invasor disse à Blockstream para “corrigir o bug primeiro” e garantir que “todo nó esteja corrigido” antes de enviar os fundos de volta. Uma mensagem anterior do invasor se ofereceu para devolver “a maior parte” do bitcoin ao endereço da federação.

Mais tarde, o invasor disse que a parte devolveria “o dinheiro de volta com segurança” assim que o bug que permitiu o saque tivesse sido corrigido. A Blockstream respondeu: “Sim, obrigado.”

Em seguida, a Blockstream enviou uma mensagem onchain assinada com PGP afirmando: “Nós de bridge estão corrigidos, é seguro devolver os fundos.” Foi relatado que a assinatura valida em relação à chave de segurança publicada pela Blockstream.

O bitcoin ainda não havia sido devolvido no momento do recorte de apuração de 7 de setembro, com os fundos sacados ainda mantidos na carteira controlada pelo invasor apesar da oferta de devolução.

Uma mensagem onchain separada e não assinada ofereceu uma recompensa de 98 BTC, mas seu remetente não pôde ser autenticado e foi apontado como possivelmente um imitador. Assim, a recompensa não foi confirmada como uma oferta oficial da Blockstream.

A Blockstream havia enviado comunicações onchain autenticadas ao invasor, mas não havia nenhuma declaração pública oficial da Blockstream sobre o incidente mais amplo naquele momento.

Lastro do L-BTC cai muito abaixo do nível pretendido

O saque também reduziu fortemente o bitcoin mantido como lastro do L-BTC, que deveria ser respaldado na proporção de um para um por bitcoin na reserva da federação.

Um recorte de 7 de setembro mostrou 197 BTC restantes na carteira da federação, deixando o L-BTC lastreado por 4,7% do bitcoin necessário para manter o lastro pretendido. Usuários continuaram a manter L-BTC enquanto a funcionalidade normal de peg-out permanecia indisponível durante a pausa da rede.

Essa posição de reserva fez da eventual retomada dos peg-outs uma questão material ainda não resolvida. A dúvida pendente identificada na época era quanto o L-BTC valeria quando os saques fossem retomados se o bitcoin suficiente ainda não tivesse sido devolvido, bem como quem absorveria qualquer déficit resultante.

A linguagem do invasor também deixou em aberto a possibilidade de que nem todo o bitcoin sacado seria devolvido, porque a mensagem anterior prometia devolver “a maior parte”, e não explicitamente todo, dos fundos. A mensagem separada e não assinada sobre recompensa não estabeleceu quanto, se algo, o invasor pretendia reter.

Em 7 de setembro, o incidente havia entrado em remediação: a rede permaneceu pausada, nós de bridge foram desativados e depois corrigidos, corretoras suspenderam a movimentação de L-BTC e a SideSwap parou swaps e as duas direções de atividade de peg enquanto aguardava a retomada da Liquid.

Liquid recupera a maior parte dos fundos enquanto trabalho de reinício continua

A Liquid recuperou exatamente 3.400 BTC em 7 de setembro, revertendo substancialmente a perda de reserva causada pelo incidente do fim de semana e deixando cerca de 598,5 BTC sob controle dos atores. A devolução foi confirmada às 16:09 UTC e foi avaliada em cerca de US$270 milhões, representando aproximadamente 85% do bitcoin removido. O saldo restante foi avaliado em perto de US$47 milhões.

A recuperação não restaurou imediatamente as operações da Liquid. A rede permaneceu pausada enquanto a Blockstream e membros da federação preparavam um reinício coordenado, concluíam trabalho adicional de segurança e lidavam com uma divisão de cadeia. Usuários foram alertados para não enviar bitcoin para endereços de peg-in da Liquid até que o reinício fosse confirmado.

Os 598,5 BTC pendentes não foram publicamente estabelecidos como uma recompensa acordada. Transações observadas publicamente confirmaram a devolução parcial, mas o status legal ou negociado das moedas restantes não estava definido no material analisado. Operadores também ainda precisavam reconciliar o lastro do L-BTC antes que corretoras pudessem retomar com segurança depósitos e saques.