أعادت الجهات التي سحبت نحو 4,000 بيتكوين من احتياطيات Liquid مبلغ 3,400 BTC إلى محفظة الاتحاد بعد أن نشرت Blockstream إصلاحات للثغرة البرمجية المرتبطة بالحادث. وتعيد عملية السداد نحو 85% من البيتكوين الذي أُزيل من ضمانات السلسلة الجانبية، بينما لا يزال نحو 598 BTC خارج سيطرة الاتحاد.
كانت قيمة البيتكوين المُعاد نحو 270 مليون دولار وفق الأسعار المذكورة أثناء الحادث. وتُظهر السجلات على السلسلة إرسال 3,400 BTC مجدداً إلى محفظة اتحاد Liquid، بعد رسائل من الجهات المعنية قالت فيها إنها ستعيد معظم الأموال بمجرد تصحيح العُقد المتأثرة بالجسر.
لا تزال Liquid متوقفة مؤقتاً بينما يستعد أعضاء الاتحاد لإعادة تشغيل منسقة، وفقاً لـ Blockstream. وقال سامسون مو، الرئيس التنفيذي لشركة JAN3، إن Blockstream أكدت تصحيح العُقد المتأثرة واستمرت في التواصل مع الجهات المعنية أثناء فترة التوقف.
Liquid هي سلسلة جانبية للبيتكوين تُصدر L-BTC، وهو رمز مصمم ليكون مدعوماً بالبيتكوين المحتفظ به لدى اتحادها. وقد أدى السحب يوم الأحد إلى خفض ذلك الاحتياطي بشكل حاد؛ إذ أُزيل نحو 4,000 BTC من محفظة كانت تحتوي على نحو 4,200 BTC. لذلك، تعيد عملية الاسترداد معظم الضمانات الداعمة لـ L-BTC، رغم أن العجز المتبقي يترك النظام بكمية بيتكوين أقل مما كانت عليه قبل الاستغلال.
عاد معظم الاحتياطي المسحوب
جاءت عملية الاسترداد بعد مفاوضات علنية غير معتادة أُجريت جزئياً عبر رسائل موقعة مضمّنة في معاملات البيتكوين. وتواصلت Blockstream مع الجهات المعنية عبر تلك الرسائل، فردت الجهات بأنها سترسل الأموال بعد إصلاح الثغرة وتثبيت البرنامج المحدّث على كل عقدة من عُقد الاتحاد.
وقد ربط هذا الشرط إعادة الأموال بتغييرات تشغيلية داخل Liquid، بدلاً من أن تكون مجرد عملية سداد طوعية. وقالت Blockstream إنه تم نشر البرنامج المحدّث، بينما قال مو إن الاتحاد كان يجري أيضاً تحسينات أمنية إضافية، ويعالج انقساماً في السلسلة، ويجهز الأنظمة لإعادة تشغيل الشبكة.
يحدث انقسام السلسلة عندما تتعرف عُقد مختلفة على نسخ متنافسة من سجل معاملات البلوكشين. وفي سلسلة جانبية اتحادية مثل Liquid، من الضروري حل هذا الانقسام قبل استئناف التحويلات الطبيعية بشكل متسق عبر الشبكة.
حذّر مو المستخدمين من إرسال Bitcoin إلى عناوين الإيداع المرتبط بـ Liquid حتى يتم تأكيد إعادة التشغيل رسميًا. والإيداع المرتبط هو عملية إرسال Bitcoin إلى Liquid مقابل الحصول على L-BTC. وقال إن المستخدمين لا يحتاجون إلى اتخاذ أي إجراء آخر أثناء إكمال الاتحاد أعمال التعافي.
يحدّ الإيقاف المؤقت من المخاطر الفورية الناجمة عن الجسر المتأثر، لكنه يترك أيضًا مستخدمي L-BTC في انتظار تأكيد إمكانية استئناف عمليات الإيداع والسحب والعمليات المعتادة للسلسلة الجانبية بأمان.
تحديد خلل في Elements باعتباره المصدر
قالت Liquid وSideSwap إن عملية السحب الأصلية عولجت باستخدام مفتاح تفويض السحب من SideSwap. والسحب المرتبط هو عكس الإيداع المرتبط: إذ يُسترد L-BTC ويُطلَق Bitcoin من احتياطي Liquid.
قالت SideSwap إن مفتاح التفويض الخاص بها لم يتعرض للاختراق. وبدلًا من ذلك، قالت إن L-BTC المستخدم في السحب نشأ عن خلل في Elements، وهو البرنامج مفتوح المصدر الذي تقوم عليه Liquid. وقد طوّرت Blockstream برنامج Elements، الذي يوفر التقنية المستخدمة في معاملات Liquid السرية وإصدار الأصول عبر الاتحاد.
يضيّق هذا التمييز المسار المبلّغ عنه للحادثة. وتشير البيانات المتاحة إلى خلل برمجي يؤثر في إنشاء L-BTC أو التعامل معه، وليس إلى سرقة مفتاح توقيع يتحكم مباشرة في احتياطي Bitcoin التابع للاتحاد.
كما يفسّر ذلك سبب تركيز الجهات المعنية على تطبيق التصحيحات عبر عُقد الجسر قبل إعادة الأموال. فإذا ظلّت ثغرة ما نشطة في جزء من الشبكة، فقد يظل الرصيد المُعاد عرضة لمحاولة سحب أخرى.
تسلّط هذه الحادثة الضوء على التعقيد التشغيلي للسلاسل الجانبية المرتبطة بـ Bitcoin. يتيح تصميم Liquid تحويلات أسرع وأكثر خصوصية من الطبقة الأساسية لـ Bitcoin، لكنه يعتمد أيضًا على اتحاد وبرمجيات متخصصة وآلية ربط يجب أن تحافظ بدقة على العلاقة بين L-BTC المتداول وBitcoin المحتفظ به في الاحتياطي.
خلاف حول وصف «القبعة البيضاء»
وُصفت الجهات الفاعلة بأنها قراصنة ذوو قبعة بيضاء لأنها أعادت معظم Bitcoin بعد معالجة الخلل. وقد أثار هذا الوصف انتقادات لأن مئات من Bitcoin لا تزال تحت سيطرتها.
تساءل تشارلز غيّوميه، كبير مسؤولي التكنولوجيا في Ledger، عما إذا كان المصطلح ينطبق عندما تحتفظ الجهات الفاعلة بنحو 600 BTC كمكافأة ظاهرة جرى التفاوض عليها عبر اتصالات مشفّرة على السلسلة. وقال إن مثل هذا الترتيب سيشبه الابتزاز أكثر من كونه إفصاحًا أمنيًا تقليديًا.
لم تصف Blockstream ولا Liquid علنًا عملات Bitcoin المتبقية بأنها مكافأة. ولم تكشفا عن شروط السداد، أو اتفاق رسمي للمكافأة، أو الشروط المرتبطة بنحو 598 BTC التي لم تُسترد.
الفجوة كبيرة. وبحسب التقييم التقريبي المستخدم في التقارير عن الحادثة، فإن 598 BTC تعادل نحو 47 مليون دولار. ويعني ترك هذا المبلغ دون حسم أن الاسترداد لا يمكن اعتباره بعدُ إعادة كاملة للاحتياطي، حتى لو أُعيدت غالبية الأموال.
عادةً ما تتضمن عمليات الاسترداد الأخلاقي إفصاحًا واضحًا وإعادةً محددة للأصول، يتبعها أحيانًا برنامج مكافآت أخطاء متفق عليه علنًا. لكن هذه الحالة سارت بشكل مختلف؛ إذ سيطر المهاجمون أولًا على حصة كبيرة من احتياطي Bitcoin لدى Liquid، ثم ربطوا السداد بنشر الإصلاحات، مع بقاء جزء من الأموال دون استرداد.
إعادة التشغيل ستختبر عملية الاسترداد لدى Liquid
الاختبار العملي التالي هو إعادة تشغيل الاتحاد. وستحتاج Blockstream وLiquid إلى استعادة الخدمة، مع إثبات أن العُقد المُصححة تعمل بشكل متسق، وأن آلية الربط يمكنها مجددًا معالجة إيداعات Bitcoin وسحوباتها دون إعادة إنتاج الخلل.
يواجه المستخدمون الذين يفكرون في إجراء ربط إلى Liquid قيدًا واضحًا حتى اكتمال هذا العمل: ينبغي ألا تُرسل Bitcoin إلى عنوان إيداع Liquid حتى يؤكد الاتحاد رسميًا إعادة التشغيل. ويعكس تحذير Mow حقيقة أن سلامة الجسر تعتمد على برامجه وعلى الحالة المنسقة لعُقده المشاركة معًا.
لم تؤثر الحادثة في نظام الإجماع الأساسي لـ Bitcoin أو في محافظ Bitcoin خارج ربط Liquid. بل كشفت عن مخاطر خاصة بالأنظمة التي تقفل Bitcoin على شبكة وتُصدر تمثيلًا مقابلًا لها على شبكة أخرى.
أدى الاسترداد الجزئي لدى Liquid إلى تقليص عجز الاحتياطي الفوري بشكل كبير، لكن عملات 598 BTC غير المحسومة والظروف المحيطة بإمكانية إعادتها ستظل محور التداعيات. وستحدد إعادة تشغيل الاتحاد، وشرحه لثغرة Elements، وطريقة تعامله مع الأموال المتبقية ما إذا كانت الحادثة ستنتهي كاستغلال جرى استرداد معظمه، أم كعجز مستمر في تغطية Liquid.
لحماية أموالك بشكل أفضل بعد حوادث كهذه، تعلّم أهم ممارسات أمان العملات الرقمية التي ينبغي لكل متداول معرفتها اليوم.
إخلاء مسؤولية: يُقدَّم المحتوى الموجود في هذه الصفحة لأغراض إعلامية عامة فقط، ولا يمثّل آراء Toobit أو نصائحها المالية. ولا نقدّم أي ضمانات بشأن دقة هذه المعلومات أو اكتمالها، ولا نتحمّل المسؤولية عن أي أخطاء أو سهو أو نتائج ناتجة عن استخدامها. ينطوي الاستثمار في الأصول الرقمية على مخاطر؛ ويتعين على المستخدمين تقييم وضعهم المالي والمخاطر المرتبطة بذلك بشكل مستقل. لمزيد من التفاصيل، يرجى الرجوع إلى شروط الخدمة و الإفصاح عن المخاطر.
