Liquid Network, 320 Milyon Dolarlık Saldırının Ardından Bitcoin (BTC) Rezervlerini Tamamen Yeniledi

Liquid Federasyonu Rezervleri Tamamen Yeniledi

Rezervlerinin büyük kısmını eriten saldırının ardından yaklaşık iki ay geçti: Liquid Federasyonu, pazartesi günü Liquid Network sidechain'ini (ana zincire paralel çalışan ikincil zincir) destekleyen Bitcoin (BTC) varlıklarının eksiksiz tamamlandığını doğruladı. Federasyon duyurusunda, Liquid üzerinde ihraç edilen wrapped Bitcoin tokenı olan tüm LBTC için 1:1 karşılık koşulunun yeniden sağlandığını, katılımcı sağlayıcılar üzerinden BTC ile LBTC arasındaki takasların ise halihazırda birkaç hafta önce parite seviyesinde yeniden başladığını belirtti. Blockstream'in 2018'de hayata geçirdiği Liquid, borsalar ve kripto şirketlerinden oluşan bir federasyon tarafından işletiliyor; kullanıcılar BTC kilitliyor ve karşılığında aynı miktarda LBTC alıyor. Bu eşik, LBTC'nin ana zincirin sunduğundan daha hızlı ve daha gizli transferler için takas varlığı olarak kullanılması nedeniyle Bitcoin ekosistemi açısından da taşıdığı anlamı koruyor. Onarım, Bitcoin fiyatı hareketleriyle değil saklama tarafıyla ilgili: dolaşımdaki her LBTC'nin federasyon kontrolünde kilitli bir Bitcoin üzerine oturduğuna dair vaat yeniden geçerli hale geldi. Liquid'in teknolojisini geliştiren Blockstream'in CEO'su Adam Back, yükümlülüklerin tam karşılandığını, rezervlerin yüzde 100 seviyesinde olduğunu ve açık olan 0,00 Bitcoin (BTC) tutarındaki eksik gösteren bir kontrol paneli ekran görüntüsünü paylaştı. Blok gezgini verileri, dolaşımdaki arzı 4.270,54 LBTC olarak gösteriyor; kabaca 327 milyon dolarlık bu tutar artık eşit miktarda Bitcoin ile destekleniyor. Bir Liquid düğümü çalıştıran herkes rezervleri bizzat doğrulayabiliyor. Blockstream'in eski güvenlik direktörü (CSO) Samson Mow, doğrulamanın hemen öncesinde X üzerinden kalan açığı kapatmak için 250 BTC eklendiğini yazdı; bu açık, yaklaşık iki ay boyunca 600 BTC, yani kabaca 46 milyon dolar seviyesinde durmuştu. Federasyon, ikame fonların nereden geldiğini veya Eylül olayına dair inceleme raporunun ne zaman yayımlanacağını açıklamadı. Yalnızca Liquid'in yönetişim yapısını güncellediğini, daha net sorumluluk ve denetim mekanizmaları ile ek teknik ve operasyonel güvenlik önlemleri getirdiğini, ayrıntıların önümüzdeki haftalarda paylaşılacağını söyledi.

Eylül Saldırısı ve Kayıp 598 BTC

Açık, 6 Eylül Pazar gününe uzanıyor. Saldırgan, Blockstream'in geliştirdiği ve Liquid federasyonunun işlettiği Elements yazılımındaki bir kusuru kullanarak arkasında hiç Bitcoin (BTC) olmayan yaklaşık 4.000 LBTC basmayı başardı. Sistem sahte makbuzları gerçek kabul ettiği için saldırgan bunları gerçek coinlere çevirdi ve federasyon cüzdanından yaklaşık 4.000 BTC, o günkü değerle kabaca 320 milyon dolar çekti; Blockstream ile iletişimini Bitcoin işlemlerine gömülü PGP imzalı mesajlarla kurdu. Bir gün sonra, cross-chain bridge (zincirler arası köprü) düğümleri yamalandığında 3.400 BTC, yani kabaca 269 milyon dolar, geri döndü. Saldırgan ise kabaca 598 BTC'yi elinde tuttu; bu tutarı hatayı keşfeden birine ödenen yüzde 10'luk bir ödül olarak çerçeveledi ve coinler o günden bu yana hareket etmedi. Blockstream fidye ödemeyi reddetti ve çalınan varlıkları elde tutmanın sorumlu bir güvenlik açığı bildirimi değil, suç olduğunu belirtti. Ledger'ın CTO'su Charles Guillemet, bu düzeni beyaz şapkalı hackerlık (white-hat) biçiminden çok şantaja benzeterek eleştirdi. Ağı ayakta tutan federasyonda Hodl Hodl, Specter, CoinShares, Komainu, Xapo ve Bull Bitcoin dahil 81 üye bulunuyor; kilitli Bitcoin'in hareketi için 15 imzadan 11'inin gerektiği çok imzalı yapı geçerli. Kullanıcılar krizin yönetimini de eleştirdi: Eylül ayının sonlarında Kanada merkezli Bull Bitcoin, müşterilerinin platformu üzerinden LBTC bozduramadığını açıklarken kurucusu Francis Pouliot, rezervlerin tamamlandığı haberine tek kelimeyle yanıt verdi: “1:1”. Back, X üzerinden bir tekrarın önüne ne geçeceği sorulduğunda üç katmanlı savunma hattını sıraladı: peg-out yetkilendirme anahtarlarının yenilenip soğuk donanım cüzdanlarına taşınması, kanıt doğrulama önbelleklerinin kapatılması ve bir düğüm hata düzeltmesi ile konsensüs kurallarının hata durumunda kapamaya göre (fail closed) ayarlanması. Ağın bu arada birden fazla bağımsız denetimden geçtiğini ekleyen Back, geliştiricileri yapay zekanın önerdiği düzeltmelere körü körüne güvenmemeleri konusunda uyardı.

Yenileme Neyi Çözmedi

Rezervlerin tamamlanması Liquid kullanıcılarının üzerinde asılı duran asıl yükü kaldırdı; ancak iki soru açık kalmayı sürdürüyor: 598 BTC'lik eksik nasıl finanse edildi ve vaat edilen inceleme raporu ne zaman yayımlanacak. Saldırı aynı zamanda ağın risk modelini de yeniden yazdı. 15'te 11 çok imzalı yapı sağlam kaldı; sahte makbuzların gerçek gibi geçmesini sağlayan, Elements'teki bir kod hatasıydı. Bu, anahtarların çalınmasından farklı bir tehdit türü. Ayrım, peg'li varlıkların rezervleri koruyan imzalar kadar basma ve bozdurma kodunun güvenliğini de devraldığı daha geniş Bitcoin DeFi ve sidechain ekosistemi için de geçerli. Federasyon yönetişim reformunu yayımlayana kadar LBTC sahipleri, yüzde 100 gösteren bir kontrol paneline dayanarak aynı 81 üyeli gruba güven veriyor olacak.