Liquid Saldırganları 3.400 Bitcoin (BTC)’yi Federasyon Cüzdanına İade Etti

3.400 BTC Yeniden Liquid Peg’e Döndü

Blockstream’in Bitcoin yan zinciri (sidechain) Liquid Network’ü hedefleyen geçen hafta sonu saldırısının failleri, ele geçirdikleri miktarın büyük bölümünü geri verdi. 7 Eylül Pazartesi günü kendilerini “white hat” yani iyi niyetli güvenlik araştırmacısı olarak tanımlayan grup, 3.400 BTC’yi federasyon cüzdanına gönderdi — bu, hafta sonu boyunca ağdan topladıkları yaklaşık 3.998 BTC’nin yüzde 85’ine karşılık geliyor ve söz konusu transfer o an itibarıyla yaklaşık 320 milyon dolar değerindeydi. Liquid, kullanıcıların Bitcoin’i ana zincirde kilitleyip bunun karşılığında daha hızlı ve daha gizlilik odaklı bir wrapped Bitcoin tokeni olan L-BTC almalarını sağlıyor; yan zincir ayrıca erken dönem Bitcoin DeFi etkinliğinin de önemli bir bölümünü taşıyor. Olayı sıra dışı kılan ise fonların izlediği yol: Normalde bir peg-out işlemi, federasyonu işleten 15 şirketten 11’inin onayını gerektiriyor; buna rağmen hafta sonu çekilişi, yeni oluşturulmuş bir adrese yapıldı. Peg yetkilendirme anahtarlarının kendisi ele geçirilmedi ve zincirdeki diğer varlıklar etkilenmedi — ancak önlem olarak ağ duraklatıldı ve L-BTC transferleri donduruldu; Liquid’in durdurma kararını o gün sizlere aktarmıştık.

Pazarlık OP_RETURN Üzerinden Yürütüldü

İade, tamamen Bitcoin bloklarının içinde yürütülen bir pazarlıkla gerçekleşti. Fonları tutan taraf önce bir OP_RETURN mesajı yayımladı — bir işleme eklenen serbest veri alanı — “bize zincir üstünde ulaşın” anlamına gelen bu mesaj, ele geçirilen yığını kontrol eden adresten gönderilmişti; Blockstream bağlantılı bir adres ise yanıt vererek bir e-posta iletişim adresine yönlendirdi. Sonraki mesajlar Electrum ile şifrelenmiş veriler ve herkesin Blockstream’in yayımladığı güvenlik anahtarıyla doğrulayabileceği PGP imzaları taşıyordu. 965.869 numaralı blokta saldırganlar düz metin olarak fonların “büyük kısmını” federasyon betiğine iade etmenin kabul edilebilir olup olmadığını sordu ve ardından şartını koydu: Önce açık kapatılsın, köprüyü çalıştıran her düğümün güncellendiğinden emin olunsun, para ancak ondan sonra hareket etsin. Blockstream, açık imzalı bir mesajla “Evet, teşekkürler” yanıtını verdi ve daha sonra şu yayını yaptı: “Köprü düğümleri yamalandı, fonların iadesi güvenli.” Bu teyidin ardından dakikalar içinde, 3.400 BTC’lik iade işlemi Bitcoin’in proof-of-work defterinde 19.09 UTC’de, 965.950 numaralı blokta onaylandı. Bölüşüm orantısızdı ama bilinçliydi — yüzde 85 iade edildi, yüzde 15 örtülü bir “bulucu ödülü” olarak tutuldu — ve bu adım yalnızca teknik şartın açıkça yerine getirildiğinin doğrulanmasından sonra atıldı.

598,5 BTC Hâlâ Saldırganların Elinde

Kritik soru eldeki kalan tutarda: 598,5 BTC — Pazartesi günü 79.100 dolar civarındaki fiyatla yaklaşık 47 milyon dolar değerinde — hâlâ saldırganların adresinde duruyor ve hiçbir taraf bu konuda açıklama yapmadı. Bitcoin bu seviyeyi yakın zamanda savunmayı başarmıştı; makro baskılar artarken bile 79.000 doların yakınında tutunmuştu. Alıkonunan tutarın etrafındaki sessizlik, güvenlik çevrelerinden eleştiri çekti. Donanım cüzdanı üreticisi Ledger’ın teknoloji direktörü Charles Guillemet, X’te yayımladığı mesajda, alıkonunan coinler şifreli zincir üstü bir sözleşme kapsamında müzakere edilmiş bir ödülü temsil ediyorsa bu düzenin “white hat hack‘ing’den çok şantaja benzediğini” yazdı. Olay sonrası gelişmeler onun temkinliğini doğruluyor nitelikte: İadeden sonra zincir üstünde birden fazla şifreli mesaj paylaşıldı ve saldırgan tarafından gelen üzgün yüz emojisiyle son buldu — ödülü küçültme girişimlerinin karşılık bulmadığının işareti. Blockstream müzakerenin kendisi hakkında kamuya açık bir açıklama yapmadı. Şirket köprüyü Pazar günü kapattı ve borsalardan L-BTC yatırıp çekme işlemlerini dondurmalarını istedi; hizmetin ne zaman yeniden başlayacağını ise henüz söylemedi. Zincir üstü veriler, ilk sızıntının SideSwap peg-out yolundaki bir Elements hatasından kaynaklandığını gösteriyor; holder adresi bu ekosistemde izlenen daha büyük whale (balina) bakiyeleri arasında yer alıyor.

Yeniden Açılış Öncesi 47 Milyon Dolarlık Soru

Bizim için bu olayın kayda değer yanı, tüm kritik iddiaların yalnızca beyanlara değil birincil kanıtlara dayanarak doğrulanabilir olması: İade zincir üstünde kesinleşti, alıkonunan bakiye holder adresinde görünür durumda ve çözüm adımı — yamalanmış köprü düğümleri — herhangi bir coin hareket etmeden önce Blockstream’in kendi imzalı mesajıyla teyit edildi. Kök neden, federasyonun yetkilendirme anahtarları sağlam kalırken peg-out yolundaki bir Elements hatasına dayandırıldı. Şimdi sonucu belirleyen şey, geri dönmeyen yüzde 15 ve köprünün yeniden açılış takvimi. Blockstream L-BTC dondurmasını kaldırana kadar yan zincirin wrapped arzı kilitli kalıyor ve saldırganların kontrolündeki yaklaşık 47 milyon dolarlık coinlerin akıbeti, aksi yönü belgelenmiş bir iyileşme sürecinde açıkta kalan tek değişken olarak duruyor.