Gefertigtes L-BTC – echter Bitcoin: Die Exploits bei der Notendruckung im Liquid-Hack

Am 6. September um 15:53 UTC, im Block 4.050.336 von Liquid,Ein Angreifer sagte dem Validierungssystem von Liquid Network, dass etwa 4.000 Bitcoin wertvolle, neu erstellte Token durch echte Reserven gestützt werden. Das System stimmte zu. Innerhalb weniger Stunden…Rund 320 Millionen Dollar an echten Bitcoin wurden abgehoben.Vom „Federation Wallet“ hinter Liquid – einer Bitcoin-Sidechain, die von Blockstream entwickelt wurde.

Das Wichtige ist, was getan wurde.NeinEs wurde hackt. Es handelte sich dabei nicht um einen Diebstahl von Bitcoin-Transaktionen – das Mainnet funktionierte einfach weiter. Der Angreifer nutzte einen Fehler im Open-Source-Softwareprogramm Elements, das Liquid betreibt, um unbezahlte L-BTC-Token zu erstellen. Anschließend wurden diese Tokens über das Netzwerkkonzept in echtes BTC umgewandelt. Die Grenze zwischen „einem Token, den man besitzen kann“ und „ einem Token, der wertvolle Bitcoin darstellt“, wird durch die Validierungsoftware einer kleinen Gruppe von Mitgliedern der Feder bestimmt. Am 6. September wurde diese Grenze nicht durch Gewalt, sondern durch einen feinen Fehler überschritten.Die Knoten speichern das Ergebnis einer kryptografischen Prüfung zur Überprüfung der Reichweite.Der Angreifer hat Daten vorgelegt, die bereits als genehmigte Ergebnisse gespeichert waren. Die gefälschten Tokens schienen bereits überprüft worden zu sein.

Eine Anmerkung vor dem Thema Wirtschaft: Blockstream ist ein Privatunternehmen. Es gibt keinen Handelskürzel für Liquid und keine Blockstream-Aktien, die man kaufen könnte. Die Investitionsaussichten beziehen sich nicht auf das Eigentum an dem Unternehmen – sondern darauf, welche Preise für jede Aktie, die mit Bitcoin zusammenhängt, vergeben werden. Dabei geht es um den Vertrauen in die Systeme, die den Wert von Bitcoin transportieren, sowie um die Behauptungen bezüglich einer „ein-zu-eins-Unterstützung“ dieser Systeme. Liquid ist dabei eine Art „Anker“.Rund 5 Milliarden Dollar im gesicherten WertLaut den eigenen Angaben des Netzwerks – und das ist der Ort.Tether prägt seine USDT direkt im eigenen System..

Die 1:1-Identität wurde getrennt und wiederhergestellt.

Vor dem 6. September war die Identität von L-BTC einfach: Es handelte sich um einen einzigen L-BTC, den echten Bitcoin, der von der Föderation verwaltet wurde. Diese Aussage ist das gesamte Produkt. Der Wert einer Sidechain liegt nicht im Token selbst – der Token ist vielmehr eine Verpflichtung – sondern in der Möglichkeit, diese Verpflichtung in Bitcoin umzuwandeln.

Die Exploits-Testung bestätigte das Versprechen. Laut dem eigenen Bericht von Liquid über den Vorfall betrug die Menge an Reserven…Rund 4.205 BTC vor dem Vorfall – der Angreifer hat etwa 4.000 BTC ausgezahlt, sodass die Wallets nur noch 197 BTC enthält.Bevor die Operationen eingestellt wurden, war die „einzelne Identität“ der Bitcoin-Transaktionen eine Illusion – etwa 320 Millionen BTC hatte für einen Moment keine Verbindung zu irgendeinem Bitcoin-Netzwerk.

Dann identifizierten die Schauspieler sich als „white-hat-Researchers“ und kehrten zurück.3.400 BTC am 7. September – etwa 85 Prozent des gesamten Erwerbs.On-Chain kann der Return-Wert überprüft werden. Was übrig bleibt, ist…598,5 BTC, was etwa 15% entspricht – dieser Betrag ist etwa 47 Millionen Dollar wert.Sitzend in einer Ansprache unter der Kontrolle der Schauspieler.

Die geforderte Belohnung sowie die Identität des versteckten Bitcoin-Outputs

Die zurückgehaltenen Bitcoin-Gehalte sind der Punkt, an dem es nicht mehr um eine rein technische Angelegenheit geht. Die „Akteure“ sind jetzt…Es wird eine Belohnung von 10 Prozent gefordert – diese soll aus den eigenen Mitteln von Blockstream bezahlt werden.Um den Rest freizugeben, wurde gewarnt, dass die Inhaber von Liquid eine Verlustquote von 15% erleiden könnten, falls die Bezahlung nicht erfolgt. Blockstream hat seit dem 11. September diese Aufforderungen abgelehnt. „Die Beschlagnahme von Vermögenswerten ohne Genehmigung und das Verweigern der Rückgabe dieser Vermögenswerte ist ein Verbrechen, keine verantwortungsvolle Handlung“, sagte man.Es handelt sich nicht um Aktivitäten im „weißen Hut“-Szenario.Es ist Diebstahl.

Es kann als eine Entscheidung bezüglich der Identität verstanden werden. Eine Belohnung transformiert das Geschehene von einem Verbrechen in eine Transaktion – Sie geben mir meine Eigentum zurück, ich zahle eine Findergebühr; alle sind Teil dieser Transaktion. Blockstream lehnte diese Transformation genau ab.Wir werden keine Entschädigung für die Rückgabe des gestohlenen Eigentums zahlen.„Es wurde gesagt“, und es heißt, dass es funktionieren wird.Rechtverfolgung, forensische Unternehmen, Handelsplätze und DienstleisterUm die Gelder zu überprüfen.

Die „weiße Hut-Markierung“ verdient ebenfalls genaue Prüfung. Es ist einfach, den größten Teil der Gelder nach dem Patch zurückzugeben – das ist die übliche Vorgehensweise für echte Forscher. Doch die Forderung nach Bezahlung nach dem Fix wird durch die Aufbewahrung von 15% der Gelder an einer separaten Adresse veranlasst. Chainalysis weist darauf hin, dass die behaltenen Bitcoin-Gelder an eine bestimmte Adresse gesendet wurden.Adresse, die vom Schauspieler gesteuert wird – als Veränderung innerhalb derselben Transaktion, die die größere Menge zurückgibt.Es wirkt eher nicht wie eine Offenlegung, sondern eher so, als würden die zurückgehaltenen Mittel zur Nutzung genutzt werden. Weder Blockstream noch die Beteiligten haben irgendeine Vereinbarung bezüglich einer Belohnung bestätigt. Die Rückzahlung ist einfach so – es handelt sich dabei um eine Interpretation, bis die Erkenntnisse etwas anderes sagen.

Die drei Dinge, die der Leser mit sich nimmt

Zunächst bleibt der Hauptnetzwerkbetrieb erhalten – und das ist messbar. Bitcoin wurde während des Vorfalls auf ca. 77.000 Dollar gehandelt – etwa auf dem gleichen Niveau wie zuvor. Das ist etwas, was man von einem Fehler in einer Nebenkette erwarten könnte, nicht aber von einer Störung im Bitcoin-Netzwerk selbst. Aber man sollte „Bitcoin, das erhalten blieb“ nicht mit „Ihr Geld ist sicher auf der Schicht, über die es geht“ verwechseln. Die 320 Millionen Dollar, die weggegangen sind, sowie die etwa 47 Millionen Dollar, die noch da sind, sind tatsächlich Bitcoin, das durch einen Softwarefehler in der Validierungslogik eines Vermittlers verloren gegangen ist.

Zweitens: Stablecoins – insbesondere USDT auf Liquid. Der Bericht über den Vorfall besagt eindeutig, dass USDT sowie andere von Liquid ausgegebene Tokens…Nicht devaluiert durch die AnfälligkeitAber sie wurden nicht mehr verfügbar: Das Netzwerk wurde pausiert, die Transaktionen wurden eingestellt und die Überweisungen sowie Abhebungen wurden gestoppt. Eine Stablecoin, die man nicht bewegen kann, ist in der einzigen wichtigen Funktion nach dem Unterstützungsmechanismus versagt – nämlich bezüglich der Liquidität. Der Token war zwar in Ordnung – aber das Netzwerk war geschlossen.

Drittens: Die Analogie, die dies gut beschreibt – und wo sie nicht mehr funktioniert. Die Federation von Liquid verhält sich wie der Schalter bei der Ausgabe von Banknoten: Die Einleger haben ein Anspruch auf das Geld, die Federation besitzt das Gold, und die Mitarbeiter sollen gefälschte Noten ablehnen. Am 6. September wurde eine gefälschte Note in Gold zurückgezahnt. Dieser Teil der Analogie ist korrekt. Doch die Analogie bricht zusammen, wenn man sie auf die Aussage „Bitcoin ist vertrauensunabhängig, also ist Liquid auch vertrauensunabhängig“ ausdehnt. Die Federation ist somit eine Sammlung vertrauenswürdiger Partner – doch diese Vertrauenswürdigkeit ist nicht unbegrenzt.SideSwap – das besitzt eine Genehmigungskey für den Ausstieg aus dem System.Es war die Person, die den zurückgezogenen Bitcoin weitergeleitet hat. Das Vertrauen in diese Person ist genau das, was das Abzugsmodell aufdeckte – nicht etwas, das man wiederherstellen kann.

Die Warteschlange ist einfach: Ob die ausstehenden ~598 BTC jemals wieder zurückgegeben werden können – und welcher Balanzenbildung der Verlust auferlegt wird, falls das nicht möglich ist. Blockstream sagt, dass die Inhaber keinen „Haircut“ zahlen müssen, um die Entschädigung zu finanzieren. Wenn das stimmt, dann bleibt die Beziehung zwischen BTC und Gold bestehen. Falls L-BTC neu bewertet wird oder die Inhaber den Unterschied tragen müssen, dann wird die eine-zu-eins-Beziehung für immer zerstört – und jede Ansprüche auf diese 1:1-Beziehung werden wiederhergestellt. Für den Leser, der entscheiden muss, wie viel Bitcoin er besitzen soll, ist das eine Prüfung dieser bekanten Theorie: „Bitcoin ist digitale Gold, weil es keine vertrauenswürdige Dritteinstellung benötigt.“ Im Grundlagenbereich stimmt das. Das Ausnutzen dieser Situation zeigt, dass fast alles, was auf Bitcoin basiert, immer noch auf einer vertrauenswürdigen Dritteinstellung läuft. Dieses Mal kam 85% des Geldes zurück. Die 15%, die nicht zurückkamen, zeigen, dass man dem Vertrauen in die Systeme nur schwer trauen kann.