Атака на Liquid: выведено около 4 000 BTC

6 сентября из резервного кошелька федерации Liquid Network были выведены около 4 000 L‑BTC, конвертированные в биткоины основной сети на сумму примерно $320 млн. В связанной с транзакцией записи злоумышленники оставили сообщение: “Мы — «белые хакеры». Свяжитесь с нами через блокчейн”. В переписке с техническим подрядчиком проекта содержится фраза: “После подтверждения исправления мы переведем деньги обратно”.

В ответ команда Liquid отключила мостовые узлы, приостановила приём новых транзакций и уведомила биржи о временной паузе ввода и вывода L‑BTC. По данным проекта, другие активы сети, включая USDT, DePix и часть RWA, остаются незатронутыми.

Атакующие использовали ошибку в реализации Elements — программной основе Liquid — чтобы создать L‑BTC без блокировки эквивалентного количества биткоинов в резервном кошельке федерации. Созданные токены были переданы в обменный сервис SideSwap; после сжигания L‑BTC федерация перечислила на указанный адрес 3 996 BTC.

SideSwap указывает, что злоумышленники не получали доступа к внутренним системам сервиса и не похищали ключи авторизации вывода. Сервис принял токены за корректные и выполнил стандартную процедуру обмена.

По техническому анализу, причиной могло стать кеширование результатов криптографических проверок в Elements. Механизм кеша запоминал успешные проверки, но не учитывал тип актива и условия расходования средств. В таких условиях новая некорректная операция могла получить положительный результат на основании ранее сохранённой проверки, тогда как полная проверка должна была её отклонить.

В репозитории Elements найден коммит, добавляющий недостающие параметры в логику кеширования; авторская дата коммита — 3 августа, а дата внесения изменений в репозиторий — 1 сентября. Отдельный релиз с исправлением до 6 сентября не публиковался. Исследователь под псевдонимом OrangeSurf также отметил, что нода по адресу liquid.network отклонила проблемную транзакцию, несмотря на использование той же версии ПО у ряда участников федерации.

Технические детали инцидента злоумышленники зашифровали публичным ключом поставщика инфраструктуры Blockstream. Эксперт, обративший внимание на переписку между атакующими и Blockstream, привёл фрагменты сообщений, в которых говорится о готовности вернуть средства после устранения уязвимости.

Дополнительно отмечено, что модель Fable 5, интегрированная в GitHub Copilot, выявила ошибку в исходном коде предлагаемого исправления при простом запросе. При инциденте также обсуждалась необходимость дополнительных проверок при крупных выводах средств.

В конце августа другая сеть, связанная с Crypto.com, Cronos, временно приостанавливала работу после обнаружения эксплойта в кредитном протоколе Tectonic.