Liquid'in 'Beyaz Şapkacıları' Federasyon Cüzdanına 3.400 Bitcoin (BTC) İade Etti

3.400 BTC Federasyon Cüzdanına Geri Döndü

Kendilerine white-hat (beyaz şapkalı, iyi niyetli korsan) diyen aktörler, pazartesi günü Liquid Network'ün federasyon cüzdanına 3.400 Bitcoin (BTC) iade etti. Bu tutar, sidechain'in L-BTC token'ını destekleyen rezervlerden boşaltılan yaklaşık 4.000 BTC'nin yüzde 85'ine denk geliyor. Zincir üstü kayıtlar, iadenin tek bir transfer halinde, 965.950 numaralı Bitcoin bloğunda gerçekleştiğini; o anki piyasa fiyatlarıyla yaklaşık 270 milyon dolar değerinde olduğunu gösteriyor. İlk çıkış ise 320 milyon dolara yakın bir değere tekabül ediyordu. Blockstream tarafından, Bitcoin üzerinde daha hızlı ve daha gizli bir mutabakat katmanı olarak inşa edilen Liquid, her L-BTC'nin bire bir karşılığının ortak bir federasyon cüzdanında tutulan gerçek BTC ile desteklenmesini amaçlıyor; işleyiş, kabaca wrapped Bitcoin yapılarına benziyor. Pazar günü yetkisiz peg-out (kilitli varlığın çözülerek dışarı çıkarılması) işlemi, yaklaşık 4.200 BTC'lik rezervi neredeyse tümden boşaltıp yalnızca 197 BTC bıraktı ve bu desteklilik bir süre için kırıldı. Operatörler köprü düğümlerini devre dışı bıraktı, ağı duraklattı ve borsalara L-BTC yatırıp çekme işlemlerini dondurmalarını söyledi; tether dahil diğer Liquid varlıkları etkilenmedi. Hızlı iade teminat açığını daraltsa da yaklaşık 598 BTC — kabaca 47 milyon dolar — hâlâ aktörlerin kontrolündeki adreslerde duruyor ve ağ hâlâ çevrimdışı. Olay, bir yandan da Bitcoin sidechain güvenliği için beklenmedik bir stres testi niteliği taşıyor.

Kalan 598 BTC İçin Zincir Üstü Pazarlık

Potansiyel 320 milyon dolarlık bir kaybı kısmi bir kurtarmaya çeviren şey, tamamen Bitcoin blok zinciri üzerinden yürütülen alışılmadık bir pazarlıktı. Aktörler OP_RETURN mesajlarında kendilerine “whitehat” etiketi verdi ve parayı yalnızca açık giderilip her düğüme yamayı yükledikten sonra iade edeceklerini söyledi. Blockstream, PGP ile imzalanmış zincir üstü mesajlarla köprü düğümlerinin yamalandığını ve paranın güvenle iade edilebileceğini bildirdi; ardından 3.400 BTC'lik iade geldi. Yaklaşık 3.998,5 BTC'lik birleştirilmiş bakiyeden yapılan iade, kabaca yüzde 85'e denk düşüyor. Samson Mow, pazartesi günü yaklaşık 598 BTC'nin hâlâ eksik olduğunu ve Blockstream'in grupla iletişimi sürdürdüğünü, ek güvenlik iyileştirmeleri tamamlanana kadar ağın da duraklatılmış kalacağını açıkladı. Herkes white-hat çerçevesini kabul etmiyor: Ledger'ın baş teknoloji sorumlusu Charles Guillemet, önceden kararlaştırılmış bir ödül olmaksızın 600 BTC'ye yakın bir tutarı elinde tutmanın, kendi ifadesiyle, “beyaz şapkalı hack'ten çok şantaja benzediğini” savundu. Ne Blockstream ne de Liquid tutulan fonları müzakere edilmiş bir hata ödülü olarak tanımladı; iade koşulları da açıklanmadı — dosyanın en büyük açık sorusu tam olarak bu.

Çalınan Anahtar Değil, Elements Açığı

Liquid ve SideSwap'in açıklamaları, ilk günlerde dolaşan “SideSwap'in anahtarları çalındı” teorisini çürüttü. Çekim, federasyonun itfa sırasında BTC'yi serbest bırakmasına yetki veren kimlik olan meşru Peg-out Authorization Key (PAK) ile yapılmıştı; bu anahtar da federasyonun diğer imza anahtarları da ele geçirilmemişti. Blockstream bunun yerine kök nedeni, Liquid'in temelindeki açık kaynak yazılım Elements'teki bir hataya dayandırdı: bu hata, karşılığında BTC rezervi olmayan L-BTC oluşturulmasına izin veriyordu. SideSwap'in sistemi için bu token gerçek L-BTC'den ayırt edilemez durumdaydı; dolayısıyla 6 Eylül'de saat 14.05 UTC'de bir müşteriden 4.000 L-BTC kabul edip bunları yakan ve geçerli yetki alan peg-out servisi, yaklaşık 23 dakika sonra Bitcoin ana ağında rutin bir itfaya benzeyen işlemle yaklaşık 3.996 BTC serbest bıraktı. Tasarım varsayımı basit: kilitlenen 1 BTC 1 L-BTC basar, yakılan 1 L-BTC 1 BTC açar. Yukarıdaki yazılım karşılıksız token basarsa, aşağıdaki her kontrol doğru çalışmaya devam eder — ve gerçek rezervleri ödemeye devam eder. Herhangi bir yeniden başlatmadan önce Blockstream ve federasyon üyeleri düzeltmeleri tamamlamak, duraklatma sırasında oluşan zincir ayrılmasını çözmek — kullanıcılar için bu adım replay-attack (tekrar oynatma saldırısı) riski taşıyor — ve L-BTC'nin 1:1 destekliliğini yeniden teyit etmek zorunda. Mow, güvenli yeniden başlatma onaylanana kadar kullanıcıların Liquid'in peg-in adreslerine BTC göndermemesini istedi.

Yeniden Başlatma Kanıtlı Destekliliğe Bağlı

Blockstream, 8 Eylül'de yerel saatle yaklaşık 10.00 JST'de X üzerinden yaptığı resmi açıklamada güncellenmiş yazılımın dağıtıldığını ve federasyon üyelerinin ağı yeniden çevrimiçiye almak için hazırlıkları koordine ettiğini bildirdi; ancak bir yeniden başlatma saati verilmedi. İade işleminin kendisi de aynı blokta yaklaşık 598,4996 BTC'yi aktörlerin adresine geri yönlendirdi; son okumaya göre bu adres yaklaşık 598,5 BTC — kabaca 47,3 milyon dolar — tutuyor. Dikkat çekici bir ayrıntı: Elements açığının teknik detayları, aktörlerle Blockstream'in PGP açık anahtarıyla şifrelenmiş materyal içinde paylaşıldı ve grubun ilk OP_RETURN mesajı, fonların “çoğunluğunu” iade etmenin kabul edilebilir olup olmadığını soruyordu. Kamuya açık mesajlarda tutulan BTC'yi ödül olarak tanıyan bir anlaşma ya da ek iadeler için bir takvim görünmüyor. Piyasayı gerçek zamanlı takip eden okuyucular spot ve vadeli fiyatları Gate üzerinden canlı izleyebilir.

Yönetişim tarafına dair ek ayrıntı şöyle: sidechain'i yönetmekten sorumlu Liquid federasyonu, BTC kilitleyip üyelerin Bitcoin'i hızla takas edebilmesi için L-BTC ihraç eden 80'den fazla borsa, altyapı şirketi ve varlık yöneticisinden oluşuyor. Projeye göre olaydan bu yana tüm yeni işlemler durduruldu; federasyon üyeleri Blockstream ile açığın giderilmesi ve tamamlanan güvenlik kontrolleri üzerinde çalışıyor. Güncellenen yazılım devreye alındı, etkilenen düğümler yamalandı ve üyeler güvenliği teyit edilir edilmez ağı yeniden başlatmaya hazırlanıyor. Liquid hâlâ somut bir saat vermedi, yaklaşık 598 BTC'nin tam mı yoksa bir takvime göre mi iade edileceğini de açıklamadı; hazırlıklar sürerken kalan bakiyenin akıbeti belirsizliğini koruyor.

Mesajlaşmanın ve iadenin ötesinde, grubun yöntemlerine yönelik eleştiri genişliyor. Bitcoin Rails podcast'inin sunucusu Isabel Foxen Duke, aktörlerin davranışını “delice yasadışı/etik dışı” olarak niteledi ve kimlikleri belirlenip yakalanırlarsa ciddi sonuçlarla karşılaşabilecekleri uyarısında bulundu. Ayrı olarak, piyasa tarafına dair analizler kalan bakiyenin doğrudan yarattığı bir riske işaret ediyor: çekilen rezervlerin yaklaşık yüzde 15'i hâlâ geri gelmemişken trader'lar ve kullanıcılar L-BTC'nin Bitcoin'e göre depeg olma ihtimalinden endişelenmeye başladı ve projenin gözetçilerinin, token paritesini korumak için rezerv açığını telafi etme seçeneklerini incelediği belirtiliyor. Kalan BTC'nin dönüp dönmeyeceği, hem tam desteklilik hem de güvenin yeniden inşası için belirleyici olacak.

(08:21 UTC itibarıyla) (05.13 UTC itibarıyla) COINOTAG'ın birincil kanıtlara bakışı nett: boşaltılan tutar da iade de zincir üstünde bağımsız olarak doğrulanabilir durumda — tam 3.400 BTC, 965.950 numaralı blokta federasyon adresine geri taşındı — ve Blockstream'in yamalı köprü düğümlerinden imzalı zincir üstü teyide ve koordine edilmiş yeniden başlatma hazırlığına uzanan onarımı, istismar yolunu kapatıyor ama mimariyi düzeltmiyor. Anahtarları hiç ele geçirilmemiş bir sistem, geçerli görünen tek bir işlemle neredeyse tüm federasyon rezervini dışarı bıraktı. Blockstream tam Elements güvenlik açığı raporunu yayımlayıp Liquid L-BTC'nin 1:1 destekliliğini yeniden kanıtlayana kadar, geniş Bitcoin DeFi yığınındaki sidechain'ler, yalnızca anahtar saklama denetimlerinin yakalamadığı bir risk sınıfı taşıyor. Uppsala Security'nin INTERPOL geçidi çalışması gibi çabalarda görüldüğü üzere zincir üstü adli analiz burada da hızlı davrandı — ama bu sefer karşı taraflar iş birliği yaptı.