Liquid Network, Elements Doğrulama Açığıyla 4.000 Bitcoin (BTC) Kaybetti

Doğrulama Açığıyla 4.000 Sahte LBTC Basıldı

Blockstream'in işlettiği ve kullanıcılara BTC'yi daha hızlı, daha gizlilik odaklı bir işlem katmanına taşıma imkânı veren federe yan zincir (sidechain) Liquid Network'te yaklaşık 4.000 Bitcoin (BTC) izinsiz şekilde basıldı ve ağdan çekildi. Ağın resmi olay bildirimine göre ihlal, 6 Eylül'de saat 15:53 UTC'de, 4.050.336 numaralı Liquid bloğunda gerçekleşti: Saldırgan, Liquid'in üzerinde çalıştığı açık kaynak kod tabanı Elements'teki doğrulama sürecindeki bir zafiyeti kullanarak arkasında hiçbir BTC teminatı bulunmayan yaklaşık 4.000 LBTC — yan zincirin kilitli bitcoin token'ı — üretti. Liquid iki yönlü bir peg (sabit bağlama) ile çalışıyor: Fonlar peg-in ile ağa giriyor, LBTC yakılarak ana zincirden bitcoin geri çekiliyor ve bu itfa işlemleri normalde yetkili üyeler üzerinden yürütülüyor. Saldırgan, sahte LBTC'yi, peg-out yetki anahtarlarını (PAK) elinde tutan federe üyesi SideSwap üzerinden ana zincir bitcoinine çevirdi. Doğrulama hatası peg-out gerçekleşmeden önceki işlem aşamasında ortaya çıktığı için SideSwap'ın düğümü ile federasyonun fonksiyoner düğümleri çekimi meşru saydı ve yaklaşık 4.000 BTC, SideSwap'ın beyaz listedeki adresleri üzerinden saldırganın kontrolündeki cüzdanlara aktarıldı. Açıklama açık bir dille hiçbir fonksiyoner düğümün ele geçirilmediğini, hiçbir özel anahtarın sızmadığını belirtiyor: peg-out mekanizması tam olarak tasarlandığı gibi çalıştı, arıza üst katmandaki doğrulamada oturdu — mevcut savunmaları birlikte devre dışı bırakan bağımsız faktörlerin ender bir bileşimi. Teminat hasarı ağır: Peg cüzdanı olay öncesinde yaklaşık 4.205 BTC tutuyordu; haciz sonrası ve durdurma öncesi işlenen ek peg-out'larla birlikte geriye yaklaşık 197 BTC kaldı, yani LBTC'nin arkasındaki teminatın yaklaşık yüzde 95'i tek bir işlemde buharlaştı. Ağda ihraç edilen USDT temsilisi gibi diğer varlıklar açığın kendisinden doğrudan etkilenmiyor, ancak ağ genelindeki durdurma onları da geçici olarak kullanılamaz hale getirdi. İşleticiye göre düğüm çalıştırmayan sıradan kullanıcıların şu an koruyucu bir adım atmasına gerek yok; adli soruşturma sürüyor.

3.400 BTC Teminat Cüzdanına Geri Döndü

Toparlanma bir gün içinde geldi. Blockstream, 7 Eylül'de saat 01:09 UTC'ye kadar köprü düğümlerine bir yama uygulayarak saldırganın kullandığı yolu kapattı. Aynı sabah, 09:41:26 UTC'de, düzeltmenin uygulandığını ve fonların güvenle iade edilebileceğini bildiren bir zincir üstü mesaj, Blockstream'in yayımlanan güvenlik anahtarıyla doğrulanan bir imzayla ana zincire kaydedildi. 16:09:25 UTC'de ise Bitcoin ana zincirinin 965950 numaralı bloğuna dahil edilen bir kurtarma işlemi, 3.400 BTC'yi federasyonun peg cüzdanına geri gönderdi — alınanın yaklaşık yüzde 85'ini karşılıyor. Kendini beyaz şapkalı (whitehat) güvenlik araştırmacısı olarak tanıtan ve zincir üstüne bıraktığı mesajda zafiyetin ele alınışı hakkında iletişim çağrısı yapan saldırgan, toplamın yaklaşık yüzde 15'ine denk gelen yaklaşık 598,5 BTC'yi elinde tutuyor ve 8 Eylül itibarıyla iadesi için müzakereler sürüyordu. Kalan miktarın üzerinde anlaşılmış bir ödül olduğunu doğrulayan kamuya açık bir bilgi yok; bu birikim, saldırganın adresini dikkat çeken Bitcoin balina adresleri arasına da yerleştirdi. Zincir üstü aritmetik çarpıcı: Yaklaşık 4.200 BTC tutan rezervlerden yaklaşık 3.996 BTC çıktı — olay anındaki kur ile kabaca 49,9 milyar yenlik bir tutar. LBTC itfası, ana zincirden bitcoin açığa çıkarmak için token'ın yakılmasını gerektiriyor; sıradan kullanıcılar bu adımı normalde yetkili üyeler veya işletmeler üzerinden yürüttüğü için perakende sahiplerinin acilen bir şey yapması gerekmiyor. Sıra normalleşmede: Ekip, yamalı yazılım olan Elements v23.3.4'ün acil sürümünü 48 saat içinde yayımlamayı planlıyor; ardından fonksiyoner düğüm operatörlerinin, işlem yeniden başlamadan önce sahte peg-out'ların geçersiz kılınmasını da kapsayan önlemleri koordine etmesi bekleniyor. 8 Eylül itibarıyla ağ hâlâ durdurulmuş durumdaydı: İşleticinin durum sayfası devam eden olayı listeliyor, borsalar köprü üzerinden yatırma ve çekme işlemlerini askıya almış, takas servisleri peg-in ve peg-out'ları durdurmuştu. Tam teminat, ancak kurtarılabilir rezervler dolaşımdaki geçerli LBTC bakiyeleriyle mutabakata bağlandığında doğrulanabilir.

Sarmalanmış Güven, İş Kanıtı Değil

Kalan bakiye üzerine pazarlıklar hâlâ aktif. Liquid'in Salı günü X'te paylaştığı olay raporuna göre Blockstream ile sorumlular arasındaki görüşmeler, kalan fonların iadesini güvence altına almak için sürüyor; koşullar ya da takvim açıklanmadı. İade edilmeyen yaklaşık 598,5 BTC yaklaşık 47 milyon dolar değerinde ve bu rakam, saldırganların kendilerini beyaz şapkalı ilan etmesine yönelik şüpheyi de büyüttü: Ledger Baş Teknoloji Sorumlusu Charles Guillemet, X'te 600 BTC'yi geri tutmanın olayı “beyaz şapkalı hacking'den çok şantaja benzettiğini” yazdı. Liquid, fonksiyonerlerinin hacklenmediğini ve hiçbir özel anahtarın tehlikeye girmediğini yineledi; önceliklerinin kalan fonları geri almak ve ağ operasyonlarını olabildiğince hızlı ve güvenli biçimde normale döndürmek olduğunu, sahte çekimin iptali planlanırken acil bir güncellemeye hazırlanıldığını söyledi. Piyasayı gerçek zamanlı izleyen okuyucular canlı spot ve vadeli fiyatları Bitget üzerinden takip edebilir.

(01:13 UTC itibarıyla) COINOTAG okuması: Buradaki yük taşıyıcı gerçekler yorumda değil, zincir üstünde. 965950 numaralı bloktaki kurtarma işlemi, saldırganın beyaz şapkalı notu ve yaklaşık 3.996 BTC'ye inen boşalan bakiye, Bitcoin ana zincirinde bağımsız olarak doğrulanabilir durumda; ekibin olay sonrası raporu da hem kök nedeni hem çözümü netleştiriyor: peg-out öncesi bir Elements doğrulama hatası, köprüde yamalandı ve v23.3.4 sürümüyle kalıcı olarak kapatılacak. Bu bölüm, L-BTC'nin sarmalanmış (wrapped) bir varlık olduğunu — güven tasarımı açısından ana zincirin iş kanıtı (proof-of-work) güvenliğinden çok sarmalanmış Bitcoin (WBTC)'ye yakın olduğunu — bir kez daha gösterdi. BTC'yi Bitcoin DeFi katmanlarından geçiren ya da Bitcoin ekosisteminin yan zincir deneylerini izleyen herkesin marka adlarına değil, rezerv kanıtlarına (attestation) bakması gerekiyor.