Các tác nhân đã rút khoảng 4.000 Bitcoin khỏi nguồn dự trữ của Liquid đã hoàn trả 3.400 BTC vào ví của liên minh sau khi Blockstream triển khai các bản sửa lỗi cho lỗ hổng phần mềm liên quan đến sự cố. Khoản hoàn trả khôi phục khoảng 85% số Bitcoin bị lấy khỏi tài sản bảo chứng cho sidechain, trong khi khoảng 598 BTC vẫn nằm ngoài quyền kiểm soát của liên minh.
Số Bitcoin được hoàn trả trị giá khoảng 270 triệu USD theo mức giá được trích dẫn trong thời điểm xảy ra sự cố. Dữ liệu on-chain cho thấy 3.400 BTC đã được gửi trở lại ví của liên minh Liquid, sau khi các tác nhân cho biết họ sẽ hoàn trả phần lớn số tiền một khi các nút cầu nối bị ảnh hưởng được vá lỗi.
Liquid vẫn đang tạm dừng trong khi các thành viên liên minh chuẩn bị khởi động lại phối hợp, theo Blockstream. Samson Mow, giám đốc điều hành JAN3, cho biết Blockstream đã xác nhận việc vá các nút bị ảnh hưởng và tiếp tục liên lạc với các tác nhân trong thời gian mạng ngừng hoạt động.
Liquid là một sidechain Bitcoin phát hành L-BTC, một token được thiết kế để được bảo chứng bằng Bitcoin do liên minh nắm giữ. Đợt rút tiền hôm Chủ nhật đã làm giảm mạnh nguồn dự trữ đó: khoảng 4.000 BTC bị rút khỏi một ví từng nắm giữ khoảng 4.200 BTC. Vì vậy, đợt thu hồi đã hoàn trả phần lớn tài sản thế chấp hỗ trợ L-BTC, dù khoản thiếu hụt còn lại khiến hệ thống có ít Bitcoin hơn trước vụ khai thác lỗ hổng.
Phần lớn nguồn dự trữ bị rút đã được hoàn trả
Việc thu hồi diễn ra sau một cuộc thương lượng công khai bất thường, được tiến hành một phần thông qua các thông điệp có chữ ký được nhúng trong những giao dịch Bitcoin. Blockstream đã liên hệ với các tác nhân qua những thông điệp đó, và các tác nhân phản hồi rằng họ sẽ gửi tiền trở lại sau khi lỗ hổng được khắc phục và mọi nút liên minh đã cài đặt phần mềm cập nhật.
Điều kiện đó khiến việc hoàn trả phụ thuộc vào những thay đổi vận hành bên trong Liquid thay vì chỉ là hành động hoàn tiền tự nguyện. Blockstream cho biết phần mềm cập nhật đã được triển khai, trong khi Mow nói liên minh cũng đang thực hiện các cải tiến bảo mật bổ sung, giải quyết tình trạng phân tách chuỗi và chuẩn bị hệ thống cho việc khởi động lại mạng.
Phân tách chuỗi xảy ra khi các nút khác nhau xác nhận những phiên bản cạnh tranh của lịch sử giao dịch trên blockchain. Trong một sidechain liên kết như Liquid, việc giải quyết tình trạng phân tách như vậy là cần thiết trước khi các giao dịch thông thường có thể tiếp tục nhất quán trên toàn mạng.
Mow cảnh báo người dùng không gửi Bitcoin đến các địa chỉ peg-in của Liquid cho đến khi việc khởi động lại được xác nhận chính thức. Peg-in là quy trình gửi Bitcoin vào Liquid để đổi lấy L-BTC. Ông cho biết người dùng không cần thực hiện thêm hành động nào trong khi liên đoàn hoàn tất công tác khôi phục.
Việc tạm dừng hạn chế các rủi ro trước mắt từ cầu nối bị ảnh hưởng, nhưng cũng khiến người dùng L-BTC phải chờ xác nhận rằng tiền nạp, tiền rút và các hoạt động bình thường của sidechain có thể tiếp tục an toàn.
Xác định lỗi Elements là nguồn gốc sự cố
Liquid và SideSwap cho biết giao dịch rút tiền ban đầu được xử lý bằng Khóa Ủy quyền Peg-out của SideSwap. Peg-out là quy trình ngược lại với peg-in: L-BTC được quy đổi và Bitcoin được giải phóng khỏi khoản dự trữ của Liquid.
SideSwap cho biết khóa ủy quyền của họ không bị xâm phạm. Thay vào đó, họ nói rằng số L-BTC được sử dụng trong giao dịch rút tiền bắt nguồn từ một lỗi trong Elements, phần mềm mã nguồn mở làm nền tảng cho Liquid. Blockstream đã phát triển Elements, công nghệ được sử dụng cho các giao dịch bảo mật và việc phát hành tài sản theo cơ chế liên đoàn của Liquid.
Sự phân biệt này thu hẹp hướng diễn ra được báo cáo của sự cố. Các tuyên bố hiện có cho thấy một lỗ hổng phần mềm ảnh hưởng đến việc tạo hoặc xử lý L-BTC, thay vì việc đánh cắp khóa ký trực tiếp kiểm soát khoản dự trữ Bitcoin của liên đoàn.
Điều này cũng giải thích vì sao các bên tập trung vá lỗi trên các nút cầu nối trước khi hoàn trả tiền. Nếu lỗ hổng vẫn còn hoạt động trên một phần mạng lưới, số dư được hoàn trả có thể tiếp tục đối mặt với nguy cơ bị rút lần nữa.
Sự việc thu hút sự chú ý đến mức độ phức tạp trong vận hành của các sidechain liên kết với Bitcoin. Thiết kế của Liquid cho phép chuyển tiền nhanh hơn và riêng tư hơn so với lớp cơ sở của Bitcoin, nhưng cũng phụ thuộc vào một liên đoàn, phần mềm chuyên dụng và cơ chế peg phải duy trì chính xác mối quan hệ giữa L-BTC đang lưu hành và Bitcoin được nắm giữ trong khoản dự trữ.
Tranh cãi về mô tả “white-hat”
Các bên này được mô tả là hacker white-hat vì đã trả lại phần lớn Bitcoin sau khi lỗ hổng được xử lý. Mô tả đó vấp phải chỉ trích vì hàng trăm Bitcoin vẫn nằm dưới quyền kiểm soát của họ.
Charles Guillemet, giám đốc công nghệ của Ledger, đặt câu hỏi liệu thuật ngữ này có phù hợp hay không nếu các bên vẫn giữ khoảng 600 BTC như một phần thưởng được thương lượng thông qua liên lạc on-chain mã hóa. Ông cho rằng thỏa thuận như vậy giống tống tiền hơn là một hoạt động công bố lỗ hổng bảo mật thông thường.
Cả Blockstream lẫn Liquid đều chưa công khai mô tả số Bitcoin chưa được hoàn trả là tiền thưởng. Họ chưa tiết lộ các điều khoản hoàn trả, thỏa thuận phần thưởng chính thức hoặc các điều kiện liên quan đến khoảng 598 BTC chưa quay trở lại.
Khoảng thiếu hụt này rất đáng kể. Theo mức định giá ước tính được sử dụng trong các báo cáo về sự cố, 598 BTC tương đương khoảng 47 triệu USD. Việc chưa giải quyết được số tiền này có nghĩa là quá trình khôi phục chưa thể được xem là đã hoàn tất việc khôi phục dự trữ, ngay cả khi phần lớn số tiền đã được hoàn trả.
Các vụ khôi phục do hacker mũ trắng thực hiện thường bao gồm quy trình công bố rõ ràng và việc hoàn trả tài sản được xác định cụ thể, đôi khi tiếp theo là một chương trình tiền thưởng lỗi được công khai thỏa thuận. Vụ việc này diễn ra khác biệt: các đối tượng trước tiên giành quyền kiểm soát một phần lớn dự trữ Bitcoin của Liquid, sau đó gắn việc hoàn trả với triển khai các bản sửa lỗi, trong khi một phần số tiền vẫn chưa được hoàn trả.
Việc khởi động lại sẽ kiểm chứng quy trình khôi phục của Liquid
Bước kiểm chứng thực tế tiếp theo là việc khởi động lại liên đoàn. Blockstream và Liquid sẽ cần khôi phục dịch vụ, đồng thời chứng minh rằng các nút đã được vá đang vận hành nhất quán và cơ chế peg một lần nữa có thể xử lý việc nạp và rút Bitcoin mà không tái tạo lỗ hổng.
Người dùng đang cân nhắc peg-in phải đối mặt với một hạn chế rõ ràng cho đến khi công việc đó hoàn tất: Bitcoin được gửi đến địa chỉ nạp Liquid nên vẫn được giữ nguyên, chưa gửi đi, cho đến khi liên đoàn chính thức xác nhận việc khởi động lại. Cảnh báo của Mow phản ánh thực tế rằng sự an toàn của một cầu nối phụ thuộc vào cả phần mềm lẫn trạng thái phối hợp của các nút tham gia.
Sự cố không ảnh hưởng đến hệ thống đồng thuận lớp cơ sở của Bitcoin hay các ví Bitcoin bên ngoài peg của Liquid. Thay vào đó, nó phơi bày những rủi ro riêng có ở các hệ thống khóa Bitcoin trên một mạng lưới và phát hành một dạng đại diện tương ứng trên mạng lưới khác.
Việc khôi phục một phần của Liquid đã làm giảm đáng kể mức thiếu hụt dự trữ trước mắt, nhưng 598 BTC chưa được giải quyết và các điều kiện liên quan đến khả năng hoàn trả số tiền này sẽ tiếp tục là trọng tâm của hậu quả vụ việc. Việc liên đoàn khởi động lại, lời giải thích về lỗ hổng Elements và cách xử lý số tiền còn lại sẽ quyết định liệu sự cố kết thúc như một vụ khai thác đã được khôi phục phần lớn hay trở thành khoản thiếu hụt lâu dài trong tài sản bảo chứng của Liquid.
Để bảo vệ tiền của bạn tốt hơn sau những sự cố như thế này, hãy tìm hiểu các biện pháp bảo mật tiền mã hóa quan trọng mà mọi nhà giao dịch nên biết ngay hôm nay.
Tuyên bố miễn trừ trách nhiệm: Nội dung trên trang này chỉ được cung cấp cho mục đích thông tin chung và không đại diện cho quan điểm hoặc lời khuyên tài chính của Toobit. Chúng tôi không đảm bảo về tính chính xác hoặc đầy đủ của thông tin này và không chịu trách nhiệm đối với bất kỳ lỗi, thiếu sót hoặc kết quả nào phát sinh từ việc sử dụng thông tin. Đầu tư vào tài sản kỹ thuật số có rủi ro; người dùng nên tự đánh giá tình hình tài chính của mình và các rủi ro liên quan. Để biết thêm chi tiết, vui lòng tham khảo Điều khoản dịch vụ và Công bố rủi ro.
