Kendini beyaz şapkalı hacker olarak tanıtan kişiler, Pazar günü Blockstream’in Bitcoin yan zinciri Liquid Network’ün federasyon cüzdanından yaklaşık 4.000 bitcoin, yani yaklaşık 320 milyon dolar değerinde kripto para çekti. Çekilen miktar, ağın toplam rezervlerinin yaklaşık yüzde 95’ine karşılık geliyor. Olayın ardından Liquid, tüm ağ faaliyetlerini durdururken Blockstream saldırganlarla iletişim kurmaya çalışıyor.

Saldırı Nasıl Gerçekleşti?

Fonlar, SideSwap Peg-out Yetkilendirme Anahtarı üzerinden çekildi; ancak Liquid, bu anahtarın veya başka bir anahtarın ele geçirildiğini doğrulamadı. Kullanıcılar adına peg-out işlemlerini yürüten federasyon üyesi SideSwap, kendi anahtarının ihlal edilmediğini açıkladı. Blockstream ise sorunun, söz konusu işlemdeki L-BTC’nin Elements yazılımındaki bir hatadan kaynaklandığını tespit etti. Bitcoin Magazine’e göre saldırganlar, yan zincirdeki bir enflasyon açığından yararlanarak önceden var olmayan 4.000’den fazla LBTC bastı ve bu miktarı federasyonun 11/15 çoklu imza cüzdanından gerçek bitcoin karşılığında bozdurdu. İşlemler hatalı konsensüs kuralları çerçevesinde geçerli göründüğünden, federasyon üyelerinin donanım güvenlik modülleri para çekme işlemini otomatik olarak onayladı.

Blockstream ve Federasyon Üyelerinden Tepkiler

The Defiant’ın haberine göre, 965.780 numaralı blokta onaylanan işlemler fonları tek bir adrese aktardı. Dört saat sonra alıcı taraf, bitcoinleri birleştirerek OP_RETURN veri alanı üzerinden “biz white hat’iz, bize zincir üzerinden ulaşın” mesajını iletti. Blockstream de hackerları güvenlik e-posta adresine yönlendiren bir yanıtla karşılık verdi. JAN3 CEO’su Samson Mow, Aqua cüzdanının Liquid özelliklerinin etkilendiğini ancak zincir üstü bitcoin işlemlerinin çalışmaya devam ettiğini belirtti. Ledger’ın baş teknoloji sorumlusu Charles Guillemet ise olayın sorumlu açıklama ilkeleriyle örtüşüp örtüşmediğini sorguladı ve bunun büyük dil modellerini yoğun kullanan, deneyimsiz kişilerin işi olabileceğini öne sürdü.

LBTC Kullanıcıları İçin Sırada Ne Var?

Ağ durdurulduğu için LBTC tutan kullanıcılar şimdilik coinlerini itfa edemiyor; Liquid işlemlerinin gizli yapısı da bu tutarın ne kadarının bireysel kullanıcılara, ne kadarının kurumlara ait olduğunu belirlemeyi zorlaştırıyor. Liquid üzerinde ihraç edilen Tether (USDT), DePix ve tokenize edilmiş gerçek dünya varlıkları bu süreçten etkilenmedi. Kripto analisti DBCrypto, fonların karıştırılmadan zincir üzerinde hareketsiz kaldığını belirterek bunun bir hırsızlıktan çok beyaz şapkalı bir çekim işlemiyle tutarlı olduğunu vurguladı. Blockstream’in Mayıs ayında duyurduğu, federasyon bağımlılığını azaltacak “BitVM tarzı” köprü yol haritası henüz devreye girmemişken, Pazar günkü çekim tam olarak bu mimarinin yerini alması planlanan sistem üzerinden gerçekleşti.