„Liquid Network“ pranešė, kad jos išleistas LBTC vėl yra visiškai padengtas bitkoinu santykiu 1:1 – praėjus beveik dviem mėnesiams po didelio masto saugumo incidento, per kurį iš tinklo buvo išsiimta maždaug 320 mln. JAV dolerių vertės bitkoinų.
Apie šį atkūrimo etapą antradienį paskelbė „Liquid Federation“ – organizacija, valdanti šią „Bitcoin“ šoninės grandinės (sidechain) infrastruktūrą. Kaip nurodoma, rezervų balansus galima matyti „liquid.network“, o tinklo operatoriai gali patys patikrinti padengimą.
Po incidento vartotojai kelias savaites jau galėjo keisti BTC ir LBTC per dalyvaujančius paslaugų teikėjus, tačiau tiesioginiai „Federation“ vadinamieji „peg-out“ išėmimai kurį laiką buvo ribojami, kol buvo atliekami papildomi saugumo patikrinimai.
Svarbi detalė – dalis trūkstamo bitkoino, anot „Liquid Federation“ valdybos nario Samsono Mow, buvo atkurta „Blockstream“ lėšomis. Jis teigė, kad būtent ši bendrovė papildė rezervus po to, kai po įsilaužimo beveik 600 BTC nebuvo grąžinta.
Kas nutiko per rugsėjo incidentą
„Liquid Network“ duomenimis, rugsėjo 6 dieną iš „Federation“ piniginės buvo paimta apie 4 000 BTC. Jau kitą dieną užpuolikas grąžino maždaug 3 400 BTC, tačiau apie 600 BTC pasiliko.
Tuo metu „Blockstream“, kuri kuria „Liquid“ technologinį pagrindą, pranešė atsisakiusi tenkinti reikalavimą dėl 10 proc. „bug bounty“ (atlygio už rastą klaidą), kuris buvo keliamas mainais į likusių monetų grąžinimą.
Antradienio pranešime nebuvo aiškiai nurodyta, ar anksčiau taikyti tiesioginių išėmimų apribojimai jau visiškai panaikinti. Vis dėlto minima, kad dalis pusiau automatizuotų „peg-out“ operacijų jau buvo atnaujinta.
Kaip buvo atkurti rezervai
S. Mow pateikė informaciją apie konkrečius papildymus: spalio 28 dieną į „Federation“ piniginę buvo įnešta 50 BTC, o tai reikštų, kad tuomet dar trūko 550 BTC.
Vėliau pirmadienį atėjo dar 300 BTC, o tą pačią dieną – papildomi 250 BTC. Tokia seka, pasak jo, leido atkurti rezervus iki pilno 1:1 padengimo.
Paklaustas, iš kur atkeliauja lėšos, S. Mow socialiniame tinkle „X“ nurodė „Blockstream“ kaip jų šaltinį.
Kokia buvo pažeidžiamumo priežastis ir kas keisis toliau
Incidento ataskaitoje „Liquid“ aiškino, kad išnaudota klaida buvo susijusi su „Elements“ programine įranga – konkrečiai su „cached range proof“ verifikacijų mechanizmu. Dėl to užpuolikas galėjo sukurti apie 4 000 nepadengtų LBTC, kurie vėliau panaudoti bitkoinams išsiimti.
Nurodoma, kad tinklo operatoriai nebuvo „nulaužti“, o raktai nebuvo kompromituoti. Problema esą kilo dėl programinės įrangos klaidos, o ne dėl prieigos prie slaptažodžių ar valdymo raktų.
Pažeidžiamumui pašalinti rugsėjo 9 dieną išleista „Elements v23.3.4“ versija. Tą pačią dieną „Liquid“ vėl atnaujino blokų kūrimą, o nuo rugsėjo 10 dienos grįžo vartotojų transakcijos, nors dalis funkcijų dar buvo ribojamos.
„Liquid Federation“ teigia, kad dabar ruošia pokyčius valdysenai ir priežiūrai, taip pat papildomas technines bei operacines apsaugos priemones. Daugiau detalių žadama paskelbti artimiausiomis savaitėmis.
Leave a Reply