Атакующий сети Liquid вернул 3 400 BTC после устранения ошибки, оставив себе почти 600 BTC

Злоумышленник, который вывел примерно 4 000 BTC из федеративного кошелька Liquid Network в минувшие выходные, вернул около 85% средств после того, как Blockstream заявила, что её узлы моста были пропатчены.

Предполагаемый этичный хакер общался с Blockstream через сообщения OP_RETURN в сети Bitcoin и PGP-зашифрованный текст. В сообщении на блоке 965 875 участник сообщил Blockstream: «сначала исправьте уязвимость» и убедитесь, что каждый узел пропатчен, прежде чем он вернёт средства обратно.

Возглавляемая Adam Back компания Blockstream впоследствии отправила на блокчейн сообщение с подписью PGP: «Узлы моста пропатчены, средства можно возвращать». Подпись подтверждается с помощью ключа безопасности, опубликованного на сайте Blockstream. Затем злоумышленник вернул 3 400 BTC на адрес федерации в блоке 965 950, оставив примерно 598,5 BTC (47,3 миллиона долларов США) в своем кошельке.

Этот обмен последовал за более ранним сообщением от злоумышленника, в котором он предлагал вернуть большую часть биткоинов на адрес федерации. Blockstream впервые связалась с участником через транзакцию в блоке 965 822, попросив его связаться с командой безопасности компании.

Переписка между сторонами началась после того, как Liquid 6 сентября сообщила, что примерно 4 000 BTC, на тот момент стоимостью около 320 миллионов долларов США, были выведены из её федеративного кошелька. Средства были выведены с помощью SideSwap Peg-out Authorization Key, однако сам ключ, по данным сети, не был скомпрометирован. 

Позже Blockstream установила, что LBTC были созданы из-за ошибки в программном обеспечении Elements, по информации SideSwap. Торговая платформа заявила, что ни её системы, ни ключ авторизации на peg-out не были скомпрометированы.

Liquid приостановила активность сети, отключила узлы моста, а также приостановила депозиты и выводы LBTC на биржах. SideSwap сообщила, что свопы, peg-in и peg-out останутся приостановленными до возобновления работы сети.

Везде добавлены дополнительные подробности.