Liquid erzielt einen Rückgang von 3.400 BTC, doch die Kurslücke offenbart ein Risiko in der Brückenbilanzierung

Das Liquid Network konnte einen erheblichen Teil der am Wochenende aus seiner Federation Wallet entwendeten Bitcoin (BTC) zurückerhalten. Dies ändert jedoch nichts an dem schwerwiegenderen Problem. Denn die Kursbindung kann über den vorgesehenen Autorisierungsweg erfolgen, selbst wenn die an der Transaktion beteiligten L-BTC gar nicht hätten erstellt werden dürfen.

Am Montag (7. September) erstattete die für die Abhebung verantwortliche Gruppe 3.400 BTC an den Verband zurück und gab damit rund 85 % des verlorenen Geldes zurück. Nach der Transaktion verblieben ihr 598,5 BTC. Um die Vergleichbarkeit zu gewährleisten, basieren alle Dollar-Umrechnungen in diesem Artikel auf von CoinMarketCap Bitcoin zu-USD- von 79.001,61 US-Dollar (Stand: 7. September).

Eine gültige Absperrung, die der Verband nach eigenen Angaben nie genehmigt hat

Auf den ersten Blick wirkt die Transaktion routinemäßig. SideSwap gab an , dass ein Kunde am Sonntag um 14:05 UTC 4.000 L-BTC an seinen Peg-Out-Service überwiesen habe. Nach Vorlage einer gültigen SideSwap-Peg-Out-Autorisierung standen um 14:28:56 UTC etwa 3.996 BTC aus der Wallet der Föderation zur Verfügung.

Der Autorisierungsschlüssel wurde jedoch nicht gestohlen. Liquid bestätigte , dass der Autorisierungsschlüssel von SideSwap nicht missbräuchlich verwendet wurde. SideSwap gab außerdem an, dass Blockstream später feststellte, dass die Ursache ein Fehler in der Elements-Software war, der die Generierung ungültiger L-BTC ermöglichte. Daher ließ der Peg-out-Mechanismus fehlerhafte Token durch, die zwar legitim erschienen, aber nicht die für L-BTC vorgesehene Deckung besaßen.

Dies unterscheidet den Fall von üblichen Fällen von Schlüsselkompromittierung und rückt ihn in den Bereich der Buchhaltungsprobleme. Laut Liquids Whitepaperist L-BTC defials Bitcoin , der mithilfe eines sogenannten Zwei-Wege-Pegs in die Sidechain gelangt. Dabei wird ein Teil der BTC, die sich im Besitz einer Föderation befinden, zur Einlösung des Coins verwendet. Wird L-BTC auf ungültige Weise über seinen Einlösungspfad eingebracht, ist die Integrität der Reserven genauso wichtig wie die der Autorisierungsschlüssel selbst.

Die Verhandlung fand in Bitcoin Transaktionsnachrichten statt

eingebettete Nachrichten Bitcoin . Laut Samson Mow drängten die Beteiligten Blockstream, die Sicherheitslücke zu beheben bevor sie das Geld zurückgeben würden.

Später verschickte Blockstream eine unterzeichnete Nachricht mit folgendem Inhalt: „Die Bridge-Nodes sind gepatcht, die Gelder können sicher zurückgesendet werden.“ Die Beteiligten bestätigten Blockstream den endgültigen Empfänger und überwiesen die 3.400 BTC am 7. September um 16:09:25 UTC an die Liquid Federation zurück.

Warum die fehlenden 598,5 BTC die Frage der Reserve offen lassen

Die Rückgewinnung von 85 % der Gelder ist zweifellos ein großer Erfolg, löst aber nicht die Probleme eines Systems, das auf Eins-zu-eins-Deckung beruht. Rund 598,5 BTC befinden sich weiterhin außerhalb der Föderation, was zum hier berechneten Marktpreis etwa 47,3 Millionen US-Dollar entspricht.

Laut einem früheren Bericht von Cryptopolitanwar ein ungewöhnlicher Aspekt des Vorfalls, dass der SideSwap-Peg-Out-Autorisierungsmechanismus zum Einsatz kam, obwohl es auf Schlüsselebene zu keiner Sicherheitslücke kam. Auch die Bitcoin Basisschicht funktionierte einwandfrei. Das Problem lag vorgelagert: Falsch generierte L-BTC durchliefen einen Einlösungsmechanismus, der eigentlich echte BTC freigeben sollte.

Was die Nutzer von überbrückten Bitcoin aus diesem Vorfall lernen sollten, ist Folgendes: Es handelte sich um mehr als nur den Diebstahl eines privaten Schlüssels. Es zeigte sich, wie ein Softwareproblem dazu führen kann, dass eine scheinbar legitime Auszahlungsanfrage ohne entsprechende Reserven gestellt wird. Selbst wenn die verbleibenden bitcoin zurückgegeben werden, bleibt das zugrundeliegende Problem bestehen: Liquids Peg-Out-Prozess wandelt tatsächliche BTC in L-BTC um, die niemals als gültige Sicherheit hätten gelten dürfen.

Wenn Sie das hier lesen, sind Sie schon einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.