Pihak yang menguras sekitar 4.000 Bitcoin dari cadangan Liquid telah mengembalikan 3.400 BTC ke dompet federasi setelah Blockstream menerapkan perbaikan untuk kerentanan perangkat lunak yang terkait dengan insiden tersebut. Pengembalian ini memulihkan sekitar 85% Bitcoin yang diambil dari aset pendukung sidechain, sementara sekitar 598 BTC masih berada di luar kendali federasi.
Bitcoin yang dikembalikan bernilai sekitar $270 juta berdasarkan nilai yang dikutip selama insiden. Catatan on-chain menunjukkan bahwa 3.400 BTC telah dikirim kembali ke dompet federasi Liquid, setelah pihak tersebut menyampaikan bahwa mereka akan mengembalikan sebagian besar dana setelah node bridge yang terdampak diperbarui.
Liquid masih dijeda sementara anggota federasi menyiapkan peluncuran ulang yang terkoordinasi, menurut Blockstream. Samson Mow, kepala eksekutif JAN3, mengatakan bahwa Blockstream telah mengonfirmasi pembaruan node yang terdampak dan terus berkomunikasi dengan pihak tersebut selama penghentian operasi.
Liquid adalah sidechain Bitcoin yang menerbitkan L-BTC, token yang dirancang untuk didukung oleh Bitcoin yang disimpan oleh federasinya. Penarikan pada hari Minggu mengurangi cadangan tersebut secara drastis: sekitar 4.000 BTC diambil dari dompet yang sebelumnya menyimpan sekitar 4.200 BTC. Dengan demikian, pemulihan ini mengembalikan sebagian besar jaminan yang mendukung L-BTC, meskipun kekurangan yang tersisa membuat sistem memiliki lebih sedikit Bitcoin dibandingkan sebelum eksploitasi.
Sebagian besar cadangan yang terkuras telah dikembalikan
Pemulihan ini mengikuti negosiasi publik yang tidak biasa, yang sebagian dilakukan melalui pesan bertanda tangan yang disematkan dalam transaksi Bitcoin. Blockstream menghubungi pihak tersebut melalui pesan-pesan itu, dan mereka menanggapi bahwa dana akan dikirim kembali setelah kerentanan diperbaiki dan setiap node federasi memasang perangkat lunak yang telah diperbarui.
Syarat tersebut membuat pengembalian bergantung pada perubahan operasional di dalam Liquid, bukan sekadar pembayaran kembali secara sukarela. Blockstream mengatakan perangkat lunak yang diperbarui telah diterapkan, sementara Mow mengatakan federasi juga melakukan peningkatan keamanan tambahan, menyelesaikan perpecahan rantai, dan menyiapkan sistem untuk peluncuran ulang jaringan.
Perpecahan rantai terjadi ketika node yang berbeda mengenali versi riwayat transaksi blockchain yang saling bersaing. Dalam sidechain federasi seperti Liquid, penyelesaian perpecahan semacam itu diperlukan sebelum transfer normal dapat kembali berlangsung secara konsisten di seluruh jaringan.
Mow memperingatkan pengguna agar tidak mengirim Bitcoin ke alamat peg-in Liquid sampai dimulainya kembali operasi dikonfirmasi secara resmi. Peg-in adalah proses mengirim Bitcoin ke Liquid sebagai imbalan L-BTC. Ia mengatakan pengguna tidak perlu mengambil tindakan lain selama federasi menyelesaikan upaya pemulihan.
Penghentian sementara ini membatasi risiko langsung dari bridge yang terdampak, tetapi juga membuat pengguna L-BTC menunggu konfirmasi bahwa deposit, penarikan, dan operasi normal sidechain dapat dilanjutkan dengan aman.
Bug pada Elements diidentifikasi sebagai sumber masalah
Liquid dan SideSwap mengatakan bahwa penarikan awal diproses menggunakan Peg-out Authorization Key milik SideSwap. Peg-out adalah kebalikan dari peg-in: L-BTC ditukarkan kembali dan Bitcoin dilepaskan dari cadangan Liquid.
SideSwap mengatakan bahwa kunci otorisasinya tidak telah disusupi. Sebaliknya, mereka mengatakan L-BTC yang digunakan dalam penarikan tersebut berasal dari bug di Elements, perangkat lunak sumber terbuka yang menjadi fondasi Liquid. Blockstream mengembangkan Elements, yang menyediakan teknologi untuk transaksi rahasia dan penerbitan aset secara federatif milik Liquid.
Perbedaan tersebut mempersempit jalur insiden yang dilaporkan. Pernyataan yang tersedia menunjukkan adanya kelemahan perangkat lunak yang memengaruhi pembuatan atau pengelolaan L-BTC, bukan pencurian kunci penandatanganan yang secara langsung mengendalikan cadangan Bitcoin milik federasi.
Hal ini juga menjelaskan mengapa para pelaku berfokus pada penerapan patch di seluruh node bridge sebelum mengembalikan dana. Jika kerentanan masih aktif di sebagian jaringan, saldo yang dikembalikan berpotensi tetap terekspos terhadap upaya penarikan lainnya.
Insiden ini menyoroti kompleksitas operasional sidechain yang terhubung dengan Bitcoin. Desain Liquid memungkinkan transfer yang lebih cepat dan lebih privat dibandingkan lapisan dasar Bitcoin, tetapi juga bergantung pada federasi, perangkat lunak khusus, dan mekanisme peg yang harus menjaga hubungan antara L-BTC yang beredar dan Bitcoin yang disimpan sebagai cadangan secara akurat.
Perdebatan mengenai deskripsi “white-hat”
Para pelaku disebut sebagai peretas white-hat karena mereka mengembalikan sebagian besar Bitcoin setelah kelemahan tersebut diperbaiki. Deskripsi itu menuai kritik karena ratusan Bitcoin masih berada dalam kendali mereka.
Charles Guillemet, chief technology officer di Ledger, mempertanyakan apakah istilah tersebut berlaku jika para pelaku tetap menyimpan sekitar 600 BTC sebagai imbalan yang tampaknya dinegosiasikan melalui komunikasi onchain terenkripsi. Ia mengatakan pengaturan semacam itu lebih menyerupai pemerasan daripada pengungkapan keamanan konvensional.
Baik Blockstream maupun Liquid tidak secara terbuka menyebut Bitcoin yang belum dikembalikan tersebut sebagai hadiah. Mereka belum mengungkapkan ketentuan pengembalian, perjanjian imbalan resmi, atau persyaratan yang terkait dengan sekitar 598 BTC yang belum dikembalikan.
Kesenjangannya cukup besar. Berdasarkan perkiraan valuasi yang digunakan dalam laporan insiden tersebut, 598 BTC bernilai sekitar $47 juta. Membiarkan jumlah tersebut belum terselesaikan berarti pemulihan belum dapat dianggap sebagai pemulihan penuh atas cadangan, meskipun sebagian besar dana telah dikembalikan.
Pemulihan oleh white hat biasanya melibatkan proses pengungkapan yang jelas dan pengembalian aset yang terdefinisi, terkadang diikuti oleh bug bounty yang disepakati secara publik. Kasus ini berlangsung secara berbeda: para pelaku terlebih dahulu memperoleh kendali atas sebagian besar cadangan Bitcoin Liquid, kemudian mengaitkan pengembalian dana dengan penerapan perbaikan, sementara sebagian dana masih belum dikembalikan.
Restart akan menguji proses pemulihan Liquid
Ujian praktis berikutnya adalah restart federasi. Blockstream dan Liquid perlu memulihkan layanan sambil menunjukkan bahwa node yang telah ditambal beroperasi secara konsisten dan mekanisme peg kembali dapat memproses setoran dan penarikan Bitcoin tanpa mengulangi kerentanan tersebut.
Pengguna yang mempertimbangkan peg-in menghadapi batasan yang jelas hingga pekerjaan tersebut selesai: Bitcoin yang dikirim ke alamat deposit Liquid sebaiknya tidak dikirimkan sampai federasi secara resmi mengonfirmasi restart. Peringatan Mow mencerminkan fakta bahwa keamanan sebuah bridge bergantung pada perangkat lunaknya serta status terkoordinasi dari node-node yang berpartisipasi.
Insiden tersebut tidak berdampak pada sistem konsensus base layer Bitcoin atau dompet Bitcoin di luar peg Liquid. Sebaliknya, insiden ini mengungkap risiko yang spesifik pada sistem yang mengunci Bitcoin di satu jaringan dan menerbitkan representasi yang sesuai di jaringan lain.
Pemulihan sebagian oleh Liquid telah secara drastis mengurangi defisit cadangan langsung, tetapi 598 BTC yang belum terselesaikan dan kondisi yang melingkupi kemungkinan pengembaliannya akan tetap menjadi bagian utama dari dampak insiden ini. Restart federasi, penjelasannya mengenai kerentanan Elements, dan penanganannya atas sisa dana akan menentukan apakah insiden ini berakhir sebagai eksploit yang sebagian besar telah dipulihkan atau sebagai kekurangan permanen dalam jaminan Liquid.
Untuk melindungi dana Anda dengan lebih baik setelah insiden seperti ini, pelajari praktik keamanan kripto yang perlu diketahui setiap trader hari ini.
Penafian: Konten di halaman ini disediakan hanya untuk tujuan informasi umum dan tidak mencerminkan pandangan atau nasihat keuangan dari Toobit. Kami tidak memberikan jaminan mengenai keakuratan atau kelengkapan informasi ini dan tidak bertanggung jawab atas kesalahan, kelalaian, atau akibat apa pun yang timbul dari penggunaannya. Berinvestasi dalam aset digital melibatkan risiko; pengguna harus mengevaluasi situasi keuangan mereka dan risiko yang terlibat secara mandiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Layanan dan Pengungkapan Risiko.
