Liquid Network Saldırganları 3.400 Bitcoin (BTC)’i Federasyon Cüzdanına İade Etti

3.400 BTC Federasyon Cüzdanına Geri Döndü

Hafta sonu Liquid Network yan zincirinin (sidechain) federasyon cüzdanından yaklaşık 4.000 Bitcoin (BTC) — kabaca 320 milyon dolar — çeken grup, çaldığı fonların 3.400 BTC'sini, yani yüzde 85'ine yakınını iade etti. Zincir üstü veriler, gerçekleşen işlemi pazartesi günü, 7 Eylül'de 16:09:25 UTC'de federasyona ulaştığını doğruluyor; iade anında bu varlıkların değeri yaklaşık 269,2 milyon dolar seviyesindeydi. Çekilen fonlardan yaklaşık 598,5 BTC — kabaca 47 milyon dolar — ise hâlâ para çekim için kullanılan adreste duruyor; grubun henüz açıklama yapmadığı bu birikim, adeta bir whale (balina) ölçeğinde bir stake olarak bekliyor. Olay 6 Eylül'de başladı: Bir kullanıcı, yan zincirin BTC ile bire bir (1:1) eşleştirilmiş varlığı olan 4.000 L-BTC'yi SideSwap'in peg-out (zincir dışı çıkış) servisi üzerinden göndererek federasyon saklamasından gerçek BTC çekmeyi başardı. Ardından grup, Bitcoin işlemlerine gömülü mesajlarla kendisinin hırsız değil, bir güvenlik açığını ortaya çıkaran white-hat (beyaz şapkalı) hacker olduğunu iddia etti. Grup, öncelikle Liquid geliştiricisi Blockstream'den açığı yamalamasını istedi; son kodda bile zincirin tehlikede kaldığı uyarısını yaptı ve tüm düğümler yamalanırsa fonları güvenle iade edeceğine söz verdi. Blockstream bunun üzerine köprü düğümünün yamalandığını ve fonların güvenle iade edilebileceğini belirten imzalı bir mesaj yayımladı — bu adımdan hemen sonra grup 3.400 BTC'yi geri gönderdi. Bu arada Liquid, köprü düğümlerini zaten devre dışı bırakmış ve borsalardan L-BTC yatırma-çekme işlemlerini durdurmasını istemişti. Herkes white-hat çerçevesine ikna olmuş değil. Ledger'ın chief technology officer'ı (teknoloji yöneticisi) Charles Guillemet, 600 BTC'nin hâlâ tutulurken ortada önceden kararlaştırılmış bir ödül bulunmamasına dikkat çekerek operasyonun “white-hat hacking'ten çok şantaja benzediğini” söyledi. Liquid, kalan fonların ve L-BTC rezervlerinde oluşabilecek açığın nasıl karşılanacağına dair henüz bir açıklama yapmadı; yayım anında yan zincirin peg servisleri askıda durumda.

Teminatsız ama Geçerli Bir Peg-Out

Bu toparlanma ne kadar önemli olursa olsun, olayın en rahatsız edici kısmını çözmüş değil: Çekim, herhangi bir anahtar ele geçirilmesine gerek kalmadan, beklenen yetkilendirme yolunu izleyerek tamamlandı. Liquid'in resmi hesabı, SideSwap'in yetkilendirme anahtarının kötüye kullanılmadığını duyurdu. Platformun kendi zaman çizelgesine göre bir istemci, pazar günü 14:05 UTC'de 4.000 L-BTC'yi SideSwap'in peg-out servisine transfer etti; geçerli bir peg-out yetkilendirmesi sunulduktan sonra federasyon cüzdanı 14:28:56 UTC'de yaklaşık 3.996 BTC'yi serbest bıraktı. Sorun daha yukarıdaydı. Blockstream, kök nedenin Liquid'in altında yatan Elements yazılımındaki — kod tabanındaki — geçersiz L-BTC oluşturulmasına izin veren bir açık olduğunu saptadı. Yani peg mekanizması, meşru görünen ama aslında iki yönlü peg'in garanti etmesi gereken saklamadaki Bitcoin'le desteklenmeyen tokenleri işledi. Liquid'in Bitcoin DeFi mimarisinde L-BTC, bir wrapped Bitcoin eşdeğeri gibi çalışır: her token, functionaries federasyonunun elindeki BTC'ye karşı itfa edilebilir. Geçersiz bir token itfa yolundan girebiliyorsa, rezerv bütünlüğü anahtar güvenliği kadar kritik hale gelir ve olay klasik anahtar hırsızlığından muhasebe riskine kayar. Bu ayrım, olayı izole bir ihlal olmaktan çıkarıp daha geniş Bitcoin ekosistemi için yan zincir tasarımına bir stres testine dönüştüren şey: Ana Bitcoin zinciri hiçbir noktada risk altında değildi, ama bir yazılım hatası, gerçekte arkasında rezerv olmayan, geçerli görünen bir itfa talebinin onaylanmasını sağladı. Gerçek BTC'nin saklamadan çıkması, asla geçerli teminat sayılmaması gereken L-BTC'ye karşılık gerçekleşti — kalan coinler eve dönse de dönmesede, yapısal zaaf şimdi tam da bu muhasebe boşluğunda. Bizim okumamız bu yönde: Mekanizmanın kendisi sorgulanmadan olay kapanmış sayılamaz.

Rezerv Açığı Hâlâ Açık

Hikâyenin bu iki ipliği birleştirildiğinde tek bir sonuç çıkıyor: Kolay olan kısım, iadeydi. Zincir üstü mutabakat kaydı ve Blockstream'in imzalı olay-sonrası analizi, federasyonun 598,5 BTC'ye kadar hasarsız hale getirildiğini teyit ediyor; ancak kök neden — desteklenmeyen L-BTC'nin meşru görünen bir yetkilendirme kontrolünden geçmesini sağlayan Elements açığı — Bitcoin ekosistemindeki her pegli varlık için ders niteliğinde. Bizim değerlendirmemiz: Liquid, açığın tam nedenini, iyileştirme planını ve rezervdeki kalan açığın nasıl kapatılacağını yayımlayana kadar yan zincirin peg'i canlı bir soru işareti olarak duracak. Federasyon cüzdanı toparlanmasına dair haberimizde zaman çizelgesinin tamamını ayrıntılı biçimde takip ediyoruz.