液体の4700万ドルの問題：誰が、ハックが残したものを食べるのか

日9月6日、4,200個のビットコインのうち約4,000個がLiquidという取引ネットワークを支援していた人物が、1回の引き出しで約3億2千万ドルを引き出した。これはその年における最大級の暗号通貨の盗難事件であった。報道に取り上げられた出来事としては、その資金を奪った人々が「ホワイトハットハッカー」と自称し、85％を返還し、残りを保持したという内容があった。9月11日、ネットワーク事業者であるBlockstreamは、身代金を支払わないと発表しました。残されたもののため。

再検討する価値のある点は、何も起こらなかったということです。金庫が壊れたわけでも、鍵が盗まれたわけでもありません。Liquidのビットコインを守る連合体は、特定の方法を使っています。15中11個の多署名配置が正しく行われており、そのキーのすべてが設計通りに機能しました。とにかく、お金は残っています。このわずかな事実こそが全てです。なぜなら、損失がどこに生じるかが決まるからです。そして、それはBlockstream社の声明で示される内容とは異なります。

レールと、それがもたらす約束

液体という概念を理解する必要がある。なぜなら、通常の取引がその中を通過するからだ。これはビットコインのサブチェーンであり、L-BTCというトークンを発行する別個のネットワークである。各単位は、預金の中にある1つの実際のビットコインを表すものだ。取引所は、遅いメインチェーンを待つ代わりに、この液体を利用して自ら間で迅速かつ秘密的に取引を行う。ビットフィネックス、BTSE、ビットメクスそれらは、ネットワークに関連するプラットフォームの中に含まれるものです。80以上の取引所による連合体インフラ企業や資産管理会社

誰かがそれを信頼する理由は、「1L-BTCを入力すれば、1BTCが得られ、いつでも引き換え可能」という約束です。その約束こそが基準であり、リザーブ資産がその約束を支えるものです。リザーブ資産が4,200ビットコインを保有している場合、ネットワークはすべての未払いL-BTCを処理できます。このハッキングでは、ビットコインが保管されている金庫自体には侵入していない。問題は、金庫に対する正当な権利がどうなるかを決定する会計システムが破壊されたことです。

その欠陥は、Liquidを動作させるオープンソースソフトウェアであるElementsに存在していました。ノード内のキャッシュ機能が、計算パワーを節約するために暗号化されたチェックを行っていますが、このバグにより、攻撃者が不正なデータを送信することができました。そのデータは、既に検証済みのチェックとして扱われてしまうのです。その結果、彼らは実際には何の裏付けもない4,000枚のL-BTCを作り出すことができました。そして、その偽のトークンをフェデレーションメンバーの承認されたチャネルを通じて送信し、それによって本物のオンチェーンビットコインに変換されるのです。予備金を約197BTCまで減らしたマルチシグナルは、自分の観点から見て、その要求が正当なものだったため、承認したのです。内部者もいませんでしたし、盗んだキーもなく、力を使ったわけでもありません。単に、嘘を信じるだけの共有されたコードに過ぎませんでした。

「白い帽子」というのは、その役割を果たすものです。

攻撃者たちは、ブロックチェーン上でメッセージを投稿し、その内容は「私たちは白帽子です。バグを修正するためにデータを消費しました。修正が完了したら、データを返します」というものでした。Blockstreamがその修正が有効であることを確認した後、約3,400 BTCが戻ってきました。— 取得されたものの約85％がそうでした。残りの598.5 BTC、価値は約4700万ドルは、彼らが自ら定めた「バグボンド」として彼らの手元に残りました。そして彼らはBlockstreamにその費用を負担してもらうよう求めました。

ここでの用語とは、分析のことです。ビットコインにおいて、脆弱性を発見し、適切に公表することは正当な行為であるという点について、誰も異議を唱えません。争点となるのは、無許可で資産を取得し、手数料を徴収する行為がそれに該当するかどうかです。Blockstream社は、そうではないと述べています。同社の声明によると…それを「盗み」と呼び、責任ある開示とは言えない。そして、支払いを行うことで、オープンソース開発者が攻撃者が要求するどんな価格でも自らのインフラを提供せざるを得ないという先例が作られると述べました。また、自社の資金から支払わず、ユーザーに何かを強制することもしないとも言われました。そして、コインを回収するために、法執行機関、取引所、ファイアウォール会社など、あらゆる合法的な手段を利用すると述べています。

これは、正当なガバナンス上の決定であり、意図的に高額な費用がかかるものです。しかし、身代金を支払わないということは、そのお金を取り戻すことと同じではありません。強硬な言葉遣いによって、不快な問題が静かに覆われてしまいます。つまり、598.5 BTCが回復されず、Blockstreamが自ら準備金を補充しない場合、残される方法は一つだけ——それは固定相場制です。

実際に15%を食べるのは誰か？

これは、Liquidに関心のある人にとって最も重要な部分ですが、未解決のままです。1対1の償還の約束は、その背後にあるリザーブにかかっています。約598BTCの…かつてそのネットワークを支援していた4,205人現在、そのコインは、それを取得した人々が管理する場所に駐留しています。しかし、負債額と比べると、約4700万ドル不足しているのです。L-BTCは代替可能な通貨であり、各単位は同じものです。また、「安全な」トークンと「危険な」トークンを区別することはできません。そのため、全体的にみると、担保が不十分になっているのです。盗難によって減少した部分だけでなく、全体がそうです。

Blockstreamの声明によると、ユーザーに髪型を変えることを要求することはないという。それは結果に関する希望であり、財務状況に関する事実ではない。もし資金が自発的に返還されるか、または法執行機関がその資金を回収すれば、このルールはほとんどコストをかけずに解決される。しかし、そうでなければ、Blockstreamが自己資本を使わないという約束を守らない場合、準備金は不足状態に留まり、4700万ドルの問題は、L-BTCを持つ人々や、顧客のためにその通貨を引き換えにする取引所にとっての真の問題となる。「ビットコインはユーザーの髪型を変えない」という言葉は、実際には髪型を変えることを防ぐものではなく、誰が残るかを決めるだけである。

ネットワーク9月10日から再びブロックの製造を開始しました。そして、安全上の理由から、出口ドアは開かれていない状態が続いています。これは有効な対策ですが、同時に、出口ドアがまだ開いていないことを示すものでもあります。機関にとって最も重要なのは、退屈で秘密性が高く、信頼性が高いという点です。そのため、不足分や数ヶ月間の回復期間を含むことは、財務報告書上には数字として表れないような、信頼の損失となります。

また、株式投資家がこれらのものを直接取引できる範囲にも制限があります。Blockstreamはプライベート企業です。2021年の増資で、公開時の評価額は約32億ドルだった。つまり、ニュースによると、購入や売却できる株式は存在しないのです。個人投資家にとってのリスクは、取引コードよりも具体的なものです。それは、L-BTCを保有すること、またはLiquidで決済される取引所での取引を行うことによって生じます。そして、実際に信頼度が高いトークン化されたものやサイドチェーンでの決済方式がどれだけ価値があるかという点においても、大きなリスクが伴います。

この教訓とは、フェデレートされたサイドチェーンが絶対に失敗するというわけではありません。重要なのは、その安全性は共有されるソフトウェアと、守られる鍵と同様に重要だということです。また、何が権利として認められるかを決定する際の論理上の欠陥が、誰も手を加えたことのないお金に影響を与える可能性があるとも言えます。Blockstreamは、自分たちが正しいと思う線を引いています。しかし、彼らが行っていないこと、そして発表によって決定できないことは、最終的に4700万ドルを誰が負担するかを決めることです。その決定はまだ進行中であり、一つ一つの合法的な要求や交渉、または返還のプロセスが行われているのです。そして、トークンを持っている人々は、その過程を見ているだけの観客ではありません。