Сеть Liquid Network восстановила полное биткоин-обеспечение для своих токенов LBTC почти через два месяца после того, как программная уязвимость опустошила большую часть резервов сайдчейна, хотя прямые выводы средств по-прежнему ограничены.
Краткое содержание
- Liquid Network восстановила обеспечение LBTC биткоином в соотношении 1:1 после сентябрьской эксплуатации уязвимости, в результате которой было выведено почти 4 000 BTC.
- Четыре депозита на общую сумму примерно 602,5 BTC завершили восстановление резервов, включая финальный перевод на 250 BTC 2 ноября.
- Самсон Моу приписал замещающие средства Blockstream, хотя федерация не опубликовала разбивку финансирования.
- Обмены BTC и LBTC возобновились через участвующих провайдеров, тогда как прямые выводы через федерацию остаются ограниченными.
- Федерация планирует изменения в управлении и дополнительные меры защиты после сбоя безопасности.
В заявлении, опубликованном во вторник, Liquid Federation подтвердила, что резервы «полностью восстановлены, что восстанавливает обеспечение всех LBTC биткоином в соотношении 1:1».
Объявление последовало за несколькими переводами биткоинов в резервный кошелёк федерации, включая финальный депозит на 250 BTC 2 ноября. Записи блокчейна показали, что примерно 4 268,95 BTC обеспечивали эквивалентное количество LBTC, когда дефицит был закрыт.
Liquid Network закрывает дефицит в 600 BTC после эксплуатации уязвимости
Восстановление последовало за атакой 6 сентября, связанной с Elements — программным обеспечением с открытым исходным кодом, используемым Liquid Network.
В своей оценке инцидента безопасности Blockstream объяснила, что уязвимость в проверке транзакций позволила злоумышленнику создать примерно 4 000 LBTC без внесения соответствующего биткоина.
Затем злоумышленник конвертировал эти токены в реальные BTC через SideSwap — члена федерации, уполномоченного обрабатывать выводы средств.
Резервы Liquid упали с примерно 4 205 BTC до 197 BTC в результате несанкционированных транзакций и других выводов, завершённых до остановки операций.
7 сентября злоумышленник вернул 3 400 BTC после общения с Blockstream через сообщения, записанные в блокчейне биткоина.
Вовлечённые лица утверждали, что являются исследователями безопасности «белой шляпы», хотя их личности и мотивы не были независимо установлены.
Сентябрьская оценка Blockstream определила оставшуюся невозвращённую сумму примерно в 602 BTC.
Восстановление резервов ускорилось в конце октября, начиная с депозита на 2,5 BTC 27 октября и ещё 50 BTC на следующий день.
Два более крупных перевода завершили процесс 2 ноября, добавив 300 BTC и 250 BTC в кошелёк федерации.
Впоследствии SideSwap подтвердил последовательность депозитов и сообщил, что резервы соответствуют обращающемуся предложению LBTC.
К 3 ноября обновлённые данные показали 4 270,54 BTC, обеспечивающих то же количество LBTC, что отражает дополнительную активность после первоначального восстановления.
Кто заплатил за восстановление биткоин-резервов Liquid Network?
Хотя записи блокчейна показывают депозиты, последнее заявление федерации не указывает всех сторон, ответственных за предоставление замещающих биткоинов.
Это различие важно, поскольку возврат украденных средств и предоставление новых биткоинов являются разными методами восстановления.
Из первоначально выведенной суммы злоумышленник вернул 3 400 BTC в сентябре. Оставшийся дефицит был покрыт последующими депозитами.
Самсон Моу, входящий в совет Liquid Federation, по сообщениям, назвал Blockstream источником финансирования, когда ему задали вопрос об этом.
«Как уже говорилось много раз, Blockstream», — написал Моу в ответ на вопрос в X.
Однако федерация не опубликовала подробного распределения средств замещения и не объяснила, внесли ли свой вклад другие участники.
В заявлении SideSwap от 3 ноября выражалась благодарность Blockstream и членам федерации за завершение восстановления, но источник финансирования независимо назван не был.
Восстановленные балансы подтверждают, что в резерв вернулось достаточное количество биткоинов. Сами по себе они не указывают на владельцев кошельков, из которых эти средства поступили.
Обмены в Liquid Network возобновлены, тогда как прямые выводы остаются ограниченными
Liquid Network использует систему, в которой BTC, депонированные в основной блокчейн биткоина, представлены как LBTC в его сайдчейне.
Пользователи могут переводить LBTC внутри Liquid, а уполномоченные члены федерации обрабатывают процесс его обратного преобразования в BTC.
После эксплойта федерация приостановила выводы и временно остановила активность сети, пока разработчики устраняли уязвимость.
Как ранее сообщал crypto.news, Liquid возобновил производство блоков в сентябре, после чего постепенно восстановил обычные транзакции.
Позже сеть ввела обновлённые процедуры авторизации и начала независимый аудит безопасности Elements v23.3.4.
В соответствии со своим планом восстановления от 20 октября федерация разрешила участвующим провайдерам возобновить обмены BTC/LBTC, сохранив ограничения на прямые peg-out.
SideSwap сообщил, что его сервис конвертации вновь открылся 20 октября, позволяя клиентам обменивать LBTC на BTC по курсу 1:1 за вычетом комиссии 0,1%.
Однако в настоящее время эти выплаты поступают из собственного биткоин-кошелька SideSwap, который требует ручного пополнения.
Провайдер предупредил, что выводы могут попасть в очередь, когда его доступный баланс биткоинов иссякнет.
Прямые peg-out через федерацию по-прежнему подчиняются дополнительным требованиям безопасности и операционным требованиям, а подтверждённая дата возобновления отсутствует.
Федерация планирует изменения в управлении и усиленные меры защиты
Федерация заявила, что намерена модернизировать свою структуру управления и ввести более чёткие обязанности и надзор после инцидента.
В её планируемую работу входят дополнительные технические и операционные меры защиты, призванные предотвратить подобные сбои.
Blockstream ранее выпустила Elements v23.3.4 для устранения уязвимости и внесла изменения в процесс проверки транзакций программного обеспечения.
Федерация обновляла механизмы авторизации, используемые членами, которые обрабатывают выводы, включая процедуры с участием офлайн-ключей биткоина.
В ноябрьском заявлении была обещана дополнительная информация об изменениях в управлении и мерах безопасности «в ближайшие недели».
