Хакеры унесли 4000 BTC из Liquid Network, обещая вернуть часть

6 сентября в результате взлома из кошелька федерации биткоин-сайдчейна Liquid Network исчезли около 4000 BTC, стоимость которых оценивается в $320 млн. Команда проекта сообщила, что в инциденте замешаны так называемые "белые хакеры", которые оставили сообщение с просьбой связаться с ними через блокчейн.

Хакеры заявили о намерении вернуть большую часть средств после исправления уязвимости в системе. Переписка между ними и техническим поставщиком Liquid, компанией Blockstream, велась с использованием сообщений OP_RETURN и зашифрованного текста. Эксперт Алекс Торн отметил, что в одном из сообщений хакеры пообещали отправить деньги обратно после подтверждения исправления.

Атака стала возможной из-за ошибки в программном обеспечении Liquid, позволившей создать токены L-BTC без обеспечения биткоинами. Эти токены были обменены на биткоины через SideSwap, после чего на адрес получателя отправили 3996 BTC. В результате инцидента разработчики временно отключили мостовые узлы и остановили новые транзакции.

Исследователь под псевдонимом OrangeSurf считает, что причиной инцидента стала ошибка в сохранении результатов криптографических проверок. Проблема была в использовании кеша, который хранил только успешные проверки, без учета типа актива и условий расходования. В репозитории Elements уже опубликовано исправление, но его внедрение задержалось.