عاملانی که حدود ۴۰۰۰ بیتکوین از ذخایر Liquid خارج کرده بودند، پس از آنکه Blockstream اصلاحات مربوط به آسیبپذیری نرمافزاری مرتبط با این حادثه را اجرا کرد، ۳۴۰۰ BTC را به کیف پول فدراسیون بازگرداندند. این بازپرداخت حدود ۸۵٪ از بیتکوین خارجشده از پشتوانه سایدچین را احیا میکند، در حالی که تقریباً ۵۹۸ BTC همچنان خارج از کنترل فدراسیون باقی مانده است.
بیتکوینهای بازگرداندهشده، بر اساس قیمتهای اعلامشده در زمان وقوع حادثه، حدود ۲۷۰ میلیون دلار ارزش داشتند. سوابق رویزنجیره نشان میدهد که ۳۴۰۰ BTC به کیف پول فدراسیون Liquid بازگردانده شده است؛ این اتفاق پس از آن رخ داد که عاملان اعلام کردند پس از وصلهشدن نودهای پل آسیبدیده، بیشتر وجوه را بازمیگردانند.
به گفته Blockstream، Liquid همچنان متوقف است و اعضای فدراسیون برای راهاندازی مجدد هماهنگ آماده میشوند. سامسون مو، مدیرعامل JAN3، گفت Blockstream وصلهشدن نودهای آسیبدیده را تأیید کرده و در طول این توقف به ارتباط خود با عاملان ادامه داده است.
Liquid یک سایدچین بیتکوین است که L-BTC را منتشر میکند؛ توکنی که قرار است پشتوانه آن بیتکوینهای نگهداریشده توسط فدراسیون باشد. برداشت روز یکشنبه این ذخیره را بهشدت کاهش داد: حدود ۴۰۰۰ BTC از کیف پولی خارج شد که تقریباً ۴۲۰۰ BTC در آن نگهداری میشد. بنابراین، بازیابی انجامشده بیشتر وثیقه پشتیبان L-BTC را بازمیگرداند، هرچند کسری باقیمانده باعث میشود این سیستم نسبت به پیش از سوءاستفاده، بیتکوین کمتری داشته باشد.
بیشتر ذخایر خارجشده بازگشته است
این بازیابی پس از یک مذاکره عمومی غیرمعمول انجام شد که بخشی از آن از طریق پیامهای امضاشده تعبیهشده در تراکنشهای بیتکوین صورت گرفت. Blockstream از طریق همین پیامها با عاملان تماس گرفت و عاملان پاسخ دادند که پس از رفع آسیبپذیری و نصب نرمافزار بهروزشده روی تمام نودهای فدراسیون، وجوه را بازمیگردانند.
این شرط، بازگرداندن وجوه را به تغییرات عملیاتی در داخل Liquid وابسته کرد، نه صرفاً یک بازپرداخت داوطلبانه. Blockstream گفت نرمافزار بهروزشده مستقر شده است، در حالی که مو گفت فدراسیون همچنین در حال اعمال بهبودهای امنیتی بیشتر، رفع یک انشعاب زنجیرهای و آمادهسازی سامانهها برای راهاندازی مجدد شبکه است.
انشعاب زنجیرهای زمانی رخ میدهد که نودهای مختلف، نسخههای رقیب از تاریخچه تراکنشهای یک بلاکچین را معتبر تشخیص دهند. در سایدچینی فدرال مانند Liquid، رفع چنین انشعابی ضروری است تا انتقالهای عادی بتوانند در سراسر شبکه بهصورت هماهنگ از سر گرفته شوند.
مو به کاربران هشدار داد تا زمانی که راهاندازی مجدد بهطور رسمی تأیید نشده است، بیتکوین را به آدرسهای peg-in شبکه Liquid ارسال نکنند. peg-in فرایند ارسال بیتکوین به Liquid در ازای دریافت L-BTC است. او گفت کاربران نیازی به انجام اقدام دیگری ندارند و باید تا تکمیل فرایند بازیابی توسط فدراسیون منتظر بمانند.
این توقف، خطرات فوری ناشی از پل آسیبدیده را محدود میکند، اما در عین حال کاربران L-BTC را منتظر تأیید بازگشت ایمن سپردهها، برداشتها و عملیات عادی سایدچین میگذارد.
باگ Elements بهعنوان منبع مشکل شناسایی شد
Liquid و SideSwap گفتند برداشت اولیه با استفاده از کلید مجوز Peg-out متعلق به SideSwap پردازش شده است. peg-out معکوس peg-in است: L-BTC بازخرید میشود و بیتکوین از ذخیره Liquid آزاد میشود.
SideSwap گفت کلید مجوز آن به خطر نیفتاده بود. در عوض، این شرکت اعلام کرد L-BTC استفادهشده در برداشت، از یک باگ در Elements منشأ گرفته بود؛ نرمافزار متنبازی که زیربنای Liquid را تشکیل میدهد. Blockstream توسعه Elements را بر عهده داشته است؛ این نرمافزار فناوری مورد استفاده برای تراکنشهای محرمانه Liquid و انتشار داراییهای فدرالشده را فراهم میکند.
این تمایز، مسیر گزارششده این حادثه را محدودتر میکند. اظهارات موجود نشان میدهند که مشکل، نقصی نرمافزاری بوده که بر ایجاد یا مدیریت L-BTC اثر گذاشته است، نه سرقت یک کلید امضا که مستقیماً ذخیره بیتکوین فدراسیون را کنترل میکرد.
این رویداد همچنین توضیح میدهد که چرا مهاجمان پیش از بازگرداندن وجوه، بر اعمال وصلهها در سراسر گرههای پل تمرکز کردند. اگر آسیبپذیری در بخشی از شبکه همچنان فعال میماند، موجودی بازگرداندهشده میتوانست در برابر تلاش دیگری برای برداشت همچنان آسیبپذیر باشد.
این رویداد توجهها را به پیچیدگی عملیاتی سایدچینهای مرتبط با بیتکوین جلب میکند. طراحی Liquid امکان انتقالهایی سریعتر و خصوصیتر از لایه پایه بیتکوین را فراهم میکند، اما در عین حال به یک فدراسیون، نرمافزار تخصصی و سازوکار peg وابسته است که باید رابطه میان L-BTC در گردش و بیتکوین نگهداریشده در ذخیره را بهدقت حفظ کند.
اختلاف بر سر توصیف «کلاهسفید»
از این مهاجمان بهعنوان هکرهای کلاهسفید یاد شده است، زیرا پس از رفع نقص، بیشتر بیتکوینها را بازگرداندند. این توصیف با انتقاد روبهرو شده است، زیرا صدها بیتکوین همچنان تحت کنترل آنهاست.
چارلز گیومه، مدیر ارشد فناوری Ledger، پرسید آیا این اصطلاح زمانی کاربرد دارد که مهاجمان حدود 600 BTC را بهعنوان پاداشی ظاهری، که از طریق ارتباطات رمزگذاریشده روی زنجیره درباره آن مذاکره شده، نزد خود نگه میدارند یا نه. او گفت چنین توافقی بیشتر به اخاذی شباهت دارد تا یک افشای امنیتی متعارف.
نه Blockstream و نه Liquid، بیتکوینهای باقیمانده را بهطور عمومی بهعنوان پاداش تعیین نکردهاند. آنها شرایط بازپرداخت، توافق رسمی پاداش یا شرایط مرتبط با حدود ۵۹۸ BTC بازنگشته را افشا نکردهاند.
این شکاف قابلتوجه است. بر اساس ارزشگذاری تقریبی مطرحشده در گزارشهای این حادثه، ۵۹۸ BTC حدود ۴۷ میلیون دلار ارزش دارد. حلنشده ماندن این مبلغ به این معناست که بازیابی هنوز نمیتواند بازگردانی کامل ذخایر تلقی شود، حتی اگر بیشتر وجوه بازگردانده شده باشد.
بازیابیهای کلاهسفید معمولاً شامل فرایند افشای شفاف و بازگرداندن مشخص داراییهاست و گاهی نیز پس از آن، توافقی عمومی درباره پاداش کشف باگ انجام میشود. این پرونده متفاوت پیش رفت: مهاجمان ابتدا کنترل بخش بزرگی از ذخیره بیتکوین Liquid را به دست گرفتند، سپس بازپرداخت را به اجرای اصلاحات مشروط کردند و بخشی از وجوه همچنان بازگردانده نشده است.
راهاندازی مجدد، فرایند بازیابی Liquid را آزمایش خواهد کرد
آزمایش عملی بعدی، راهاندازی مجدد فدراسیون است. Blockstream و Liquid باید خدمات را بازگردانند و همزمان نشان دهند که نودهای اصلاحشده بهطور پایدار کار میکنند و سازوکار پگ دوباره میتواند واریزها و برداشتهای بیتکوین را بدون تکرار این نقص پردازش کند.
کاربرانی که قصد انجام پگاین دارند، تا تکمیل این فرایند با محدودیتی روشن مواجهاند: بیتکوینی که به یک آدرس واریز Liquid ارسال میشود، نباید تا زمانی که فدراسیون رسماً راهاندازی مجدد را تأیید نکرده است، ارسال شود. هشدار Mow نشاندهنده این واقعیت است که امنیت یک پل به نرمافزار آن و همچنین وضعیت هماهنگ نودهای مشارکتکننده بستگی دارد.
این حادثه بر سامانه اجماع لایه پایه بیتکوین یا کیفپولهای بیتکوین خارج از پگ Liquid تأثیری نداشت. در عوض، خطرات خاص سامانههایی را آشکار کرد که بیتکوین را در یک شبکه قفل میکنند و در شبکهای دیگر، نمایندگی متناظری از آن صادر میکنند.
بازیابی جزئی Liquid کسری فوری ذخایر را بهطور چشمگیری کاهش داده است، اما ۵۹۸ BTC حلنشده و شرایط پیرامون بازگشت احتمالی آن، همچنان در مرکز پیامدهای این حادثه باقی خواهند ماند. راهاندازی مجدد فدراسیون، توضیح آن درباره آسیبپذیری Elements و نحوه مدیریت وجوه باقیمانده تعیین خواهد کرد که آیا این حادثه بهعنوان یک سوءاستفاده عمدتاً بازیابیشده پایان مییابد یا به کمبود پایدار در پشتوانه Liquid تبدیل میشود.
برای محافظت بهتر از وجوه خود پس از حوادثی مانند این، نکات کلیدی را بیاموزید روشهای امنیتی رمزارز که هر معاملهگری باید بداند امروز.
سلب مسئولیت: محتوای این صفحه صرفاً برای اهداف اطلاعرسانی عمومی ارائه شده و بیانگر دیدگاهها یا توصیههای مالی Toobit نیست. ما هیچ تضمینی درباره صحت یا کامل بودن این اطلاعات ارائه نمیدهیم و در قبال هرگونه خطا، حذف یا پیامد ناشی از استفاده از آن مسئولیتی نخواهیم داشت. سرمایهگذاری در داراییهای دیجیتال با ریسک همراه است؛ کاربران باید وضعیت مالی و ریسکهای مربوطه را بهطور مستقل ارزیابی کنند. برای جزئیات بیشتر، لطفاً به شرایط استفاده از خدمات ما و افشای ریسک.
