47 miljoen dollar nog niet terug na Liquid-hack, Blockstream onderhandelt met daders

Blockstream voert gesprekken met de hackers die het Liquid-netwerk hebben aangevallen voor ongeveer 320 miljoen dollar. Van de gestolen 4.000 bitcoin hebben de daders 3.400 teruggegeven, maar nog steeds ongeveer 600 bitcoin (ruim 47 miljoen dollar) ontbreekt.

Hoe de hack plaatsvond

De aanvallers exploiteerden een fout in de Elements-software die onderliggend aan Liquid werkt. Dit liet de creatie toe van ongedekte L-BTC-tokens, die vervolgens werden omgewisseld voor echte bitcoin uit de reserves. De hack vond zondag plaats en de daders trokken ongeveer 4.000 bitcoin op.

Validatiefout kostte miljarden

De foute validatie gebeurde op transactieniveau, voordat de uitname werd geïnitieerd. Zowel de node van SideSwap (een Liquid Federation-lid) als de wereldwijd verspreide functionary-nodes van het Liquid-netwerk accepteerden de ongedekte tokens als geldig. De bitcoin-reserves daalden van ongeveer 4.205 naar 197 bitcoin.

Onderhandelingen lopen

Blockstream is in gesprek met de verantwoordelijken om de resterende middelen terug te krijgen. Het netwerk is inmiddels stilgelegd. Liquid gaf geen details over de onderhandelingsterms of een terugkeerschema.

De daders zeiden zich op de blockchain als white-hat beveiligingsonderzoekers te identificeren. Echter, sceptici zoals Ledger-CTO Charles Guillemet betwijfelen dit – het vastgehouden van 600 bitcoin oogt meer als afpersing dan ethisch hacken.

Plannen voor herstel

Blockstream werkt aan een noodupdate na een patch maandag. Eenmaal voltooid zullen netwerkoperators verdere aanpassingen doorvoeren om diensten veilig te herstellen, inclusief afwijzing van de ongeldige opname.