Blockstreams „Liquid Exploit“-Technologie hinterließ einen Loch von 598,5 BTC in der 1:1-Versprechung.

Am 6. September hat ein Angreifer fast 4.000 Bitcoin abgezogen.Es handelte sich um eine einzige Wallet innerhalb der Liquid-Federation – eine sogenannte Sidechain, die auf Bitcoin basiert. Anfangs schien es sich um einen der größten Krypto-Räuberüberfälle des Jahres zu handeln. Die Höchstbetrag wurde mit 320 Millionen Dollar angegeben. Am 11. September war der Großteil wieder zurückgekehrt. Blockstream weigerte sich jedoch öffentlich, den Restbetrag auszuzahlen. Die Situation ist leicht nachvollziehbar. Die tatsächlich wichtige Zahl für alle, die entscheiden müssen, wie viel ein bestimmtes Kryptowährungsobjekt wert ist, ist kaum sichtbar: 598,5 BTC, also etwa 47 Millionen Dollar. Das ist immer noch das, was fehlt in der Reserven, die versprochen wurden – dass jeder Token, der in Umlauf ist, einzeln zurückgegeben werden kann. Dieses „Loch“ hat noch keinen Besitzer, und die Weigerung, den Betrag auszuzahlen, wird dieses Loch nicht füllen.

Was Liquid ist – und warum Bitcoin nie das Ziel war

Das Erste, was die Schlagzeilen verschleiern, ist das Thema des Angriffs. Liquid ist nicht Bitcoin – es handelt sich um eine sogenannte „Sidechain“, die 2018 von Blockstream eingeführt wurde und von einer Vereinigung von Börsen, Infrastrukturbetreibern und Finanzinstitutionen betrieben wird. Nutzer können Bitcoin in Liquid umwandeln und im Gegenzug Liquid Bitcoin erhalten. L-BTC ist keine neue Coin – es handelt sich dabei um eine Art „Rechnung“. Das Netzwerk verspricht, dass jeder L-BTC durch echtes BTC gesichert ist, welches sich in einer Reservenkasse befindet. Die „Beamten“ der Vereinigung unterzeichnen diese Transaktionen mit einer Mehrheitsbesitzregelung von 11 von 15 Personen.

Der Pitch besteht aus Geschwindigkeit und Privatsphäre: 2-minütige Transaktionszeiten, versteckte Transaktionssummen – sowie eine Zahlungsabwicklung für Institutionen, die nicht eine Stunde warten möchten, bis die Grundlagenabwicklung erfolgt ist.Rund 5 Milliarden Dollar Wert befindet sich auf der Kette.Es werden über L-BTC, Stablecoins und tokenisierte Wertpapiere verteilt. Es gibt Retail-Halter, aber die eigentlichen Nutzer sind die Handelsplattformen sowie die OTC-Bereiche, die Geld untereinander tauschen.

Das alles berührt jedoch nicht das Bitcoin selbst. Als der Ausfall stattfand, bestätigte das Bitcoin-Netzwerk die Blöcke weiterhin normal.Der Preis blieb bei etwa 80.000 Dollar.Das Softwaremodul der Sidechain kann zusammenbrechen, während die Baselinie, an die sie angeschlossen ist, weiterhin funktioniert – das ist die ganze Sache.

Der Schatz blieb bestehen – die Buchhaltung jedoch brach zusammen.

Die Mechaniken des Angriffs sind wichtig – sie zeigen dir, wo der Risikoherd tatsächlich lag. Blockstream und die Börsen bestätigten, dass die Signierungs Schlüssel der Federation nicht gestohlen wurden. Die 11 von 15 Signierungen blieben erhalten. Was fehlt, ist das Software: Ein Fehler im Codebasierten System von Elements, auf dem das Open-Source-Framework Liquid läuft – sowie die Art und Weise, wie das Netzwerk vertrauliche Transaktionen verifiziert.

Einfach ausgedrückt: Der AngreiferMan fand einen Weg, L-BTC zu schaffen – ein L-BTC, das noch nie von Bitcoin unterstützt wurde.Das ist so, als würde man ein Einzahlungsbeleg ausdrucken – ohne die tatsächliche Einzahlung. Der Angreifer nutzte anschließend den legitimen Weg des „peg-out“-Prozesses von Liquid, den auch echte Inhaber verwenden, um echten BTC abzuheben. Die Kopie war jedoch falsch – doch die Abhebungsmechanismen behandelten sie als echte Auszahlungen und zahlten tatsächlichen Bitcoin aus. Die Schließvorrichtungen des Safes blieben intakt – die Buchführung, die festlegt, wer Anspruch auf Abhebungen hat, funktionierte nicht.

Die 85-prozentige Rendite – und der Stillstand.

Nachdem Blockstream die betroffenen Knoten repariert und die Lösung bestätigt hatte, gaben die Angreifer am 7. September 3.400 BTC zurück – etwa 85 Prozent des erbeuteten Geldes. Sie nannten sich „white-hat-Hackers“ und betonten, dass sie verantwortungsvoll handelten. Das ist der Punkt, an dem die beiden Werte unterschiedlich sind. Die Daten, die diese Unterschiede erklären, sind das restliche Guthaben.

Die Angreifer besaßen etwa 598,5 BTC – das entspricht einem Wert von etwa 47 Millionen US-Dollar. Ihre Forderung, die über auf der Blockchain vermittelte Nachrichten übermittelt wurde, betrug 10 Prozent des Wertes der BTCs als Belohnung für eine vollständige Rückzahlung. Es wurde außerdem gedroht, dass die Besitzer von L-BTC sonst einen Verlust erleiden würden. BlockstreamSie lehnten die Offenlegung öffentlich am 11. September ab und bezeichneten die Zurückhaltung als Verbrechen – anstatt als verantwortungsvolle Handlung.Und es wird gewarnt, dass die Zahlung dieser Summe dazu führen könnte, dass die gesamte Open-Source-Industrie ein Handbuch für zukünftige Erpressungen erhält. Das Unternehmen behauptet jedoch, dass es die Gelder stattdessen durch die Strafverfolgung und forensische Ermittlungen erhalten wird.

Die Nummer, mit der die Arithmetik tatsächlich ausgeführt wird.

Halten Sie an dem Buchhaltungssystem – denn hier lohnt es sich, Wallets zu lesen, anstatt Narrative. Die Reserve betrug etwa 4.200 BTC.Der Abflusskanal leerte etwa 4.000 davon.Fast 95 Prozent des „Backing“ für jede im Umlauf befindliche L-BTC werden zurückgegeben. Das Ergebnis ist 3.400 BTC. Wenn man diese Zahl abzieht, bleibt noch 598,5 BTC übrig – und diese Zahl befindet sich immer noch in den Händen der Angreifer.

Dieser „Hole“ ist kein Rundungsfehler. Es handelt sich dabei um etwa 15 Prozent von dem, was entnommen wurde. Das ist der Grund für die Drohung der Angreifer bezüglich eines Verlusts von 15 Prozent: Wenn diese Münzen niemals zurückkehren, dann geht etwa 15 Prozent des versprochenen Betrags an die Inhaber von L-BTC verloren. Die Transaktionen mit L-BTC basieren auf dem Versprechen einer 1:1-Rückzahlung. Die Frage ist also: Wer nimmt den fehlenden Betrag in Anspruch? Es gibt verschiedene Möglichkeiten – die Federation könnte die Reserve aus eigenen Mitteln wieder aufstocken, oder die Strafbehörden könnten die Münzen zurückholen. Doch weder das noch Blockstream oder die Federation haben etwas dazu gesagt.Derjenige, der die Unterschreitung ausgleicht, falls die Münzen nicht zurückgegeben werden.In der Zwischenzeit hat das Netzwerk wieder mit der Produktion von leeren Blöcken begonnen. Die Peg-Operationen – also die Prozesse, bei denen L-BTC in Bitcoin umgewandelt wird – bleiben jedoch ausgesetzt.

Was ein Retail-Investor hier tut…

Die Lehre erweitert die Regeln bezüglich der Sidechains – etwas, womit die meisten Leser nie in Berührung kommen werden. Der Preis eines Assets hängt nur von dem Anspruch ab, der hinter ihm steht. „Befestigte“ Ansprüche sind spezifische Ansprüche mit einem bestimmten Besitzer. Bitcoin in der Basis-Schicht hat keine Gegenseite: Ihr Wert hängt nicht von irgendwelchen Versprechen ab. L-BTC, gestakte Tokens, Bridged-Deposits und Yield-Bearing-Depository-Receipts haben hingegen eine andere Struktur – es handelt sich dabei um Versprechen, die von jemandem gehalten werden, aber durch einen Softwarefehler oder einen Diebstahl nicht eingehalten werden können.

Man sollte also denselben Bildschirm ansehen, bevor man irgendetwas annimmt, das eine stabile Basis oder Unterstützung vorsieht: Wer steht hinter dieser „One-for-One“-Basis? Was passiert mit dieser Verpflichtung, wenn das Softwareprogramm versagt? Und wer trägt die Verluste als Erstes? Nennen Sie den Besitzer des Defizits – bevor man dem Namen des Vermögens vertraut. Das ist alles, was hier wichtig ist.

Und die Ablauffrist – denn jeder Methodenansatz hat eine solche Frist. Sobald Liquid die Kontraktoperationen wieder aufnimmt, wobei die Reserve wieder zu einem vollen 1:1-Wert zurückkehrt – egal ob durch Wiederherstellung oder Kapitalrekonstruktion – dann verschwindet dieses besondere Risiko und L-BTC wird wieder zu einer vertrauenswürdigen Währung. Bis dahin sollte man jedes L-BTC in Umlauf behandeln wie einen Kreditanspruch gegen eine Union, deren Buchhaltung nicht korrekt ist. Prüfen Sie den Reservebestand genauso wie Sie ein Wallet überprüfen würden – nicht so, wie man einen Thread liest.