Rund 4.000 Bitcoin entwendet: Möglicher „White-Hat“-Angriff auf Liquid-Bridge!

Am heutigen Sonntagabend machte unter anderem der Bitcoin-Entwickler Rob Hamilton auf die Transaktion aufmerksam.

Das Liquid-Netzwerk ist eine von Blockstream entwickelte Bitcoin-Sidechain. Nutzer können Bitcoin über einen sogenannten Peg-in in das Liquid-Netzwerk übertragen und erhalten dafür L-BTC. Diese sollen im Verhältnis 1:1 durch echte Bitcoin gedeckt sein.

Liquid ermöglicht unter anderem schnellere Transaktionen und sogenannte Confidential Transactions, bei denen beispielsweise die übertragenen Beträge verborgen werden können.

Anders als Bitcoin selbst wird Liquid allerdings nicht durch Proof-of-Work abgesichert. Stattdessen gibt es eine Gruppe von sogenannten Functionaries, die unter anderem für die Verwaltung des Pegs zwischen Bitcoin und Liquid zuständig sind.

Sollten die rund 4.000 BTC tatsächlich ohne Zustimmung der zuständigen Parteien bewegt worden sein, wäre das entsprechend ein Problem des Liquid-Sicherheitsmodells und nicht des Bitcoin-Netzwerks selbst.

Etwas seltsam wirkt allerdings, dass die mutmaßlichen White-Hat-Hacker offenbar nicht den klassischen Weg eines sogenannten Responsible Disclosure gewählt haben. Normalerweise würde man eine gefundene Schwachstelle zunächst vertraulich an das betroffene Unternehmen melden und diesem Zeit geben, sie zu schließen, bevor man Details veröffentlicht oder das Problem anderweitig demonstriert.

Warum hier stattdessen direkt mehrere Tausend Bitcoin bewegt und anschließend über die Blockchain Kontakt aufgenommen wurde, ist bislang unklar. Das passt zumindest nicht ganz zu dem üblichen Vorgehen von Sicherheitsforschern und macht den Vorgang trotz der Selbstbezeichnung als „White Hats“ erklärungsbedürftig.

Die Entwickler des Liquid-Netzwerks haben den Sicherheitsvorfall offiziell bestätigt. Demnach wurden von (mutmaßlichen) White-Hat-Hackern rund 4.000 BTC beziehungsweise etwa 320 Millionen US-Dollar aus einer Wallet der Liquid Federation abgezogen.

Nach Angaben des Teams wurden die Coins über den SideSwap PAK (Peg-out Authorization Key) bewegt. Gleichzeitig betont Liquid, dass dieser Schlüssel nicht kompromittiert worden sei, ebenso wenig wie andere Schlüssel. Wie die Auszahlung trotzdem möglich war, ist damit weiterhin eine der zentralen offenen Fragen.

Die Federation hat die Bridge Nodes vorübergehend deaktiviert, wodurch aktuell keine neuen Transaktionen mehr an das Liquid-Netzwerk übermittelt werden können. Praktisch ist die Sidechain damit pausiert, bis der Vorfall geklärt ist.

Auch Börsen wurden informiert und sollen Ein- und Auszahlungen von L-BTC pausieren. Andere Assets auf Liquid, darunter USDT, DePix und RWAs, sollen laut dem Team nicht betroffen sein.

Blockstream versucht unterdessen weiter, die White Hats über die oben gezeigte, signierte On-Chain-Nachricht zu kontaktieren. Sobald es weitere Details zum genauen Ablauf und zur Rückführung der Bitcoin gibt, aktualisieren wir den Artikel erneut.

Aktuell gibt es noch mehr offene Fragen als Antworten. Vor allem ist noch nicht bekannt, wie der Zugriff auf die Coins möglich war und ob die Bitcoin tatsächlich in Gefahr sind oder lediglich im Rahmen eines White-Hat-Angriffs bewegt wurden.

Vereinfacht gesagt nutzt Liquid bei bestimmten Prüfungen einen Zwischenspeicher, damit aufwendige Berechnungen nicht jedes Mal komplett neu gemacht werden müssen. Genau dabei lag offenbar der Fehler. Der Cache merkte sich zwar, dass bestimmte Teile einer Transaktion schon geprüft und gültig waren, berücksichtigte aber nicht alle Merkmale, die dafür eigentlich wichtig gewesen wären.

Dadurch konnte wohl eine später veränderte Transaktion auf eine bereits gespeicherte „gültig“-Prüfung zurückgreifen, obwohl sie bei einer vollständigen Kontrolle hätte abgelehnt werden müssen. So konnten offenbar L-BTC entstehen beziehungsweise weiterverwendet werden, die das Netzwerk fälschlicherweise akzeptierte.