Blockstream weigert sich, den Liquid-Ransom-Versicherungsschutz anzubieten – die Frage ist: Wer trägt die Lücke von 47 Millionen Dollar?

Am 11. September gab Blockstream eine öffentliche Ablehnung bekannt: Sie werde keinen Lösegeld für die noch nicht zurückgezahlten Bitcoins zahlen, die nach dem Angriff auf ihre Liquid-Network-Infrastruktur übrig geblieben sind. Als Schlagzeile ist das eine klare Aussage – das Unternehmen weigert sich, den Diebstahl zu belohnen. Die Nuance dieser Aussage ist jedoch wichtig für alle, die Kryptowährungen halten: Der Großteil des Geldes war bereits zurückgegeben worden, und die Partei, die den Rest besitzt, bezeichnet sich nicht als Dieb. Sie nennt sich vielmehr ein „white-hat-Researcher“, der um eine Entschuldigung bittet.10-prozentige Belohnung.

Hier ist die Bilanz so, wie sie aktuell aussieht. Die Partei hinter dem AbzugEs wurden 3.400 BTC zurückgegeben, und etwa 598,5 BTC blieben behalten.Das wäre bei aktuellen Preisen etwa 47 Millionen Dollar wert – als eine Art selbstverliehene Belohnung. Blockstream sagt, dass sie keine Zahlungen für diese Rückzahlung leisten wird. „Die Besitznahme von Vermögenswerten ohne Genehmigung und die Verweigerung der Rückzahlung sind Straftaten, keine verantwortungsvolle Handlung“, schrieb das Unternehmen.Es handelt sich nicht um Aktivitäten im „weißen Hut“-Szenario.„Es ist Diebstahl.“ Wenn die Münzen nicht zurückgegeben werden, sagt Blockstream, dass es mit den Behörden, den Währungsshops und den forensischen Experten zusammenarbeiten wird, um die Münzen zu finden.

Der Streit ist tatsächlich existent – aber für einen Investor ist das Interessante darunter: Der Streit geht nicht wirklich darum, einen Entführer zu bezahlen. Es geht vielmehr darum, wer die fast sechshundert Bitcoins in einem Netzwerk aufnehmen kann – ein Netzwerk, das verspricht, dass jedes L-BTC gleichwertig mit echten Bitcoin vergütet wird. Diese Frage bleibt ungelöst – und das ist die eigentliche Geschichte.

Was genau kaputtging – und warum nicht Bitcoin.

Der Hacker war nicht selbst aus Bitcoin bestanden. Am 6. September…4.000 BTC – etwa 95 Prozent der ~4.200 BTC im FederationsguthabenDie Schlüssel, die den Liquid-L-BTC-Token unterstützen, wurden abgeräumt. Das Ungewöhnliche daran ist, dass keine der Schlüssel gestohlen wurden. Die Liquid-Network ist eine Sidechain, die von Blockstream über das Open-Source-Softwarepaket Elements betrieben wird. Ein Konzern aus etwa 80 Unternehmen übergibt die Sicherheit an 15 „Funktionäre“, von denen 11 für jede Abhebung einen Unterschriften benötigen müssen.

Der Mechanismus war eine…Bug im Validierungsskript von Elements – insbesondere ein Cache für „Range-Beweise“.Dadurch werden die Transaktionssummen verdeckt. Der Angreifer platzierte ähnliche Beweise in der Nähe der Knoten, bis diese diese Beweise gespeichert hatten. Anschließend wurde ungenaues Datenmaterial eingereicht, das auf denselben Speicherplatz verweist. Die Knoten betrachteten dies als bereits validiert, sodass der Angreifer L-BTC ohne jegliche Grundlage erzeugen konnte und diese anschließend durch SideSwap, einen whitelisteden Partner für den Handel von Bitcoin, in echtes Bitcoin umwandeln konnte. Die Föderation genehmigte die Freigabe dieser Transaktionen, weil…Die Hardware-Sicherheitseinheiten überprüfen nur, ob der aufgebrennte L-BTC dem Bitcoin entspricht, den es gesendet wird.Nicht dass das L-BTC selbst legitim gestützt wurde. Alle 15 Mitarbeiter nutzten denselben fehlerhaften Software-Code. Deshalb half die Quote von 11 von 15 Mitarbeitern nicht weiter.

Das ist die ganze Lehre in einer Zeile: Die Sicherheit von Liquid beruht auf einer Organisation, die die Form der Entnahme überprüft – nicht auf der Wahrheit des Vermögens, das dahinter steckt. Der Angreifer hat einfach abgelehnt.Es handelt sich um auf der Kette verfügbare Nachrichten, die als „WhiteHats“ identifiziert werden. Sie werden über verschlüsselte Nachrichten in Bitcoin-Transaktionen mit Blockstream ausgetauscht.Die größte Menge wird erst zurückgegeben, nachdem die Behebung erfolgt ist.

Die Identitätsumstellung – und das Risiko, das damit verbunden ist

Alles hängt von dem ab, was dieses zurückgehaltene Geld genannt wird. Das Vorgehen des Angreifers – „weißer Hut“, Belohnung, vereinbarte Auszahlung – ist eine Art Behauptung bezüglich der Identität. Wenn diese Behauptung wahr ist, dann sind sie ein Retter, der 10% der erhaltenen Summe erhält. Wenn sie falsch ist, dann halten sie gestohlene Vermögenswerte unter der Drohung, sie nie zurückzugeben. Es handelt sich dabei um gegensätzliche rechtliche Situationen mit unterschiedlichen Konsequenzen. Blockstream weigert sich, die Upgrade-Leistung zu gewähren.

Deshalb ist die Sprache des Unternehmens so sorgfältig gewählt. Es bezeichnet das Handeln als Diebstahl und lehnt die „10-prozentgebühren“ als „schlechten Vorbild für Open-Source-Projekte“ ab. Zudem warnt das Unternehmen davor, eine solche hohe Summe zu zahlen – denn das würde alle zukünftigen Forscher dazu bringen, erst zu manipulieren und anschließend zu berechnen. In diesem Sinne geht es nicht hauptsächlich um die 47 Millionen Dollar. Es handelt sich dabei um eine rechtliche Positionierung, die den Angreifer vom Anspruch auf eine Belohnung zum Kriminellen macht – damit die Behörden keine Zahlungen vornehmen können und die Polizei einen Grund hat, zu handeln.

Die Herausforderung ist, dass das Ablehnen dieses Etiketts nicht dazu führt, dass die Münzen zurückgegeben werden. Die praktische Folge ist eine offene Situation: 598,5 BTC befinden sich in einer Wallets, die vom Angreifer kontrolliert wird. Die Aussage von Liquid – dass jeder L-BTC einzeln und in voller Höhe in Bitcoin umgewandelt werden kann – hat also einen „Loch“ in sich, bis jemand diesen „Loch“ füllt.

Wer trägt die 47 Millionen Dollar?

Das ist die Frage, die in den Schlagzeilen übersehen wird. Es ist auch die Frage, die bestimmt, wie wertvoll das Ereignis ist. Die Inhaber von L-BTC sowie die Unternehmen, die Liquid für die Abwicklung verwenden – also die Börsen, die Stablecoins und Tokenisierte Vermögenswerte auf der Sidechain ausgeben, einschließlich Tethers USDT – tauschten Vermögenswerte aus, die durch einen Reservoir unterstützt wurden. Der Wert des Reservoirs sank auf etwa fünf Cent Bitcoin pro Token bei dem Tiefpunkt, danach wieder anstieg.Ein impliziter Anteil von ~86% Unterstützung – nachdem 3.400 BTC zurückgekehrt waren..

Wer die restlichen ~598,5 BTC übernimmt, ist nicht bekannt. Weder Blockstream noch die Föderation haben gesagt, ob der Mangel durch den Operator ausgeglichen wird, unter den Mitgliedern der Föderation aufgeteilt wird oder als Abzug bei der Rückzahlung von L-BTC behandelt wird. Diese Klarheit ist das Wichtigste: Wenn der Operator den Verlust übernimmt, handelt es sich um eine Stabilisierung der Situation; wenn die Situation weiterhin unklar bleibt, handelt es sich um eine Übertragung der fehlenden Bitcoin an diejenigen, die nichts falsch gemacht haben.

Die systemische Einschränkung hinter der Rettung

Es gibt ein letztes Risiko, das über Liquid hinausgeht. Das Problem existierte in Elements – dem gemeinsamen Software-Produkt, das von den anderen Sidechains genutzt wird. Die Lösung ist nur so gut, wie die Netzwerke, die diese Probleme beheben können. Blockstream hat die Betreiber dazu aufgefordert…Wechseln Sie zur patchierten Version.Aber die sogenannten „Sidechains“, die sich nicht aktualisiert haben, könnten denselben Fehler aufweisen. Daher handelt es sich dabei eher um eine Überprüfung der gesamten Federated-Klasse als um einen einzelnen Raubüberfall. Bitcoin selbst war nie direkt in Gefahr – seine Sicherheit hängt nicht von einer Federation ab. Doch jede Unternehmung, die auf Liquid-artige Abwicklungen angewiesen ist, hat nun ein Problem, von dem ihre Marketingstrategien nie die Rede waren.

Die Geschichte hinter dieser Ausstellung war einfach: Eine Firma, die sich gegen einen Dieb wehrt. Die Ausstellung ist jedoch nicht so einfach – es handelt sich dabei um eine ungelöste Problematik, die in einer Brieftasche verborgen ist. Es geht um einen Streit darüber, ob die Person, die die Brieftasche hält, eine Belohnung erhält oder Entschädigung zahlen muss. Zudem handelt es sich um ein Netzwerk, dessen Kernauftrag davon abhängt, wer bereit ist, einen Scheck auszustellen. Die Bedingungen für eine Lösung sind konkret und können durch jeden Block-Explorer überprüft werden: Wenn die ~598,5 BTC wieder zu Liquid zurückgehen und die Verbindung wieder auf 1:1 steigt, dann ist das Problem gelöst und das Risiko kann bewertet werden. Wenn die Situation weiterhin bestehen bleibt, dann waren die 47 Millionen Dollar nie der eigentliche Kostenpunkt – der Kostenpunkt ist vielmehr der Vertrauensvorschuss in den Versprechen dahinter.